Wat valt volgens de AVG onder grootschalige verwerking van persoonsgegevens?

In de Algemene verordening gegevensbescherming (AVG) staat de term ‘grootschalig’ niet precies gedefinieerd. Wel zijn er een aantal criteria waar je op kan letten om te bepalen of je organisatie op grote schaal gegevens verwerkt:

het aantal mensen van wie je organisatie gegevens verwerkt;
de hoeveelheid gegevens die je verwerkt;
de duur van de gegevensverwerking;
de geografische reikwijdte van de verwerking.

Voorbeelden van organisaties die op grote schaal gegevens verwerken zijn arbodiensten, verzekeringsmaatschappijen, ziekenhuizen en internetproviders.

FG en DPIA

Als je organisatie op grote schaal gegevens verwerkt, ben je volgens de AVG verplicht om een functionaris voor de gegevensbescherming (FG) te benoemen en een data protection impact assessment (DPIA) uit te voeren.

Bijzondere persoonsgegevens

Daarnaast ben je verplicht een FG te benoemen en een DPIA uit te voeren als je organisatie bijzondere persoonsgegevens verwerkt. Dit zijn bijvoorbeeld gegevens die iets zeggen over de gezondheid van personen.