Zijn alle verplichtingen gelijk, ongeacht de hoeveelheid gegevens die mijn onderneming/organisatie verwerkt?

Antwoord

De Algemene Verordening Gegevensbescherming (AVG) is gebaseerd op de risicogebaseerde benadering, met andere woorden, ondernemingen/organisaties die persoonsgegevens verwerken, worden gestimuleerd beschermingsmaatregelen te nemen die in overeenstemming zijn met het risiconiveau van hun gegevensverwerkingsactiviteiten. Daarom gelden voor een onderneming/organisatie die veel gegevens verwerkt zwaardere verplichtingen dan voor een onderneming/organisatie die weinig gegevens verwerkt.

Zo zullen bijvoorbeeld ondernemingen/organisaties die veel gegevens verwerken eerder een functionaris voor gegevensbescherming in dienst nemen dan onderneming/organisaties die maar weinig gegevens verwerken (in dat geval valt dit samen met het begrip „op grote schaal” verwerken van persoonsgegevens). Tegelijkertijd spelen ook de aard van de persoonsgegevens en het effect van de beoogde verwerking een rol. Voor de verwerking van weinig gegevens die echter wel van gevoelige aard zijn (bijvoorbeeld gezondheidsgegevens), zijn strengere maatregelen nodig om aan de AVG te voldoen.

In alle gevallen dienen de beginselen van gegevensbescherming te worden gerespecteerd en dienen personen de mogelijk te hebben hun rechten uit te oefenen.

Referentie

• Hoofdstuk IV van de AVG