Wat wordt bedoeld met grootschalige verwerking van persoonsgegevens?

Als organisatie bent u volgens de Algemene verordening gegevensbescherming (AVG) onder meer verplicht een functionaris voor de gegevensbescherming (FG) te benoemen en een privacy impact assessment (PIA) uit te voeren als u op grote schaal individuen volgt of bijzondere persoonsgegevens van individuen verwerkt. Voor beide aspecten geldt dat dit een kernactiviteit van de organisatie moet zijn. In de AVG staat niet precies uitgelegd wat ‘grootschalig’ inhoudt. De Europese privacy-toezichthouders verwachten dat er op den duur een praktische standaard komt waarmee eenvoudiger kan worden bepaald of er volgens de AVG op grote schaal (bijzondere) persoonsgegevens worden verwerkt. Er zijn al een aantal criteria:

• Het aantal betrokkenen (de mensen van wie u gegevens verwerkt);
• De hoeveelheid gegevens die u verwerkt;
• De duur van de gegevensverwerking;
• De geografische reikwijdte van de verwerking.