De Autoriteit Persoonsgegevens hanteert in aanloop naar de Algemene verordening gegevensbescherming (AVG) die op 25 mei van kracht wordt een overgangsregeling voor de afhandeling van verzoeken om een voorafgaand onderzoek en voor het goedkeuren van nieuwe gedragscodes.

Onder de Wet bescherming persoonsgegevens is voor bepaalde soorten verwerkingen een voorafgaand onderzoek door de toezichthouder vereist. Wanneer er tussen nu en 27 april een nieuw verzoek wordt ingediend voor een voorafgaand onderzoek bekijkt de Autoriteit Persoonsgegevens hoe de melding het beste behandeld kan worden. Vanaf 27 april neemt de AP geen verzoeken om een voorafgaand onderzoek meer in behandeling. De toezichthouder kan het verzoek dan niet meer tijdig afhandelen. Besluiten die de AP in het kader van een voorafgaand onderzoek in het verleden heeft genomen blijven ook na 25 mei 2018 geldig, tenzij de verwerking wijzigt.

De AVG kent geen voorafgaand onderzoek. Vanaf 25 mei zijn organisaties onder de AVG verplicht een data protection impact assessment (DPIA) uit te voeren als een verwerking mogelijk een hoog risico inhoudt voor de rechten en vrijheden van de betrokkenen. Als uit de DPIA blijkt dat de verwerking inderdaad een hoog risico oplevert en een organisatie geen maatregelen neemt om dit risico te beperken, dan moet de verwerking voor toepassing eerst worden voorgelegd aan de AP, de zogeheten voorafgaande raadpleging. Organisaties kunnen nu al een voorafgaande raadpleging aanvragen, waarna de AP na 25 mei hierover een besluit zal nemen.

Gedragscode

Een branche of sector kan een gedragscode opstellen om de algemene normen uit de AVG concreter te maken. De toezichthouder brengt op verzoek advies uit over de vraag of een ontwerp-gedragscode overeenkomt met de AVG. Als de gedragscode voldoende passende waarborgen biedt zal de AP de code goedkeuren. Ook voor 25 mei 2018 kan al een gedragscode worden voorgelegd op grond van de AVG. De Autoriteit Persoonsgegevens neemt over deze gedragscodes na 25 mei 2018 een besluit.

Met de AVG vervalt de meldplicht. De Autoriteit Persoonsgegevens maakte al eerder bekend dat organisaties in de praktijk geen melding meer hoeven te doen als zij persoonsgegevens verwerken. Alleen als er sprake is van een gegevensverwerking waarvoor een voorafgaand onderzoek moet worden aangevraagd, blijft een melding verplicht.