DPIA-uitzondering voor het mkb: de nieuwe AP-lijst
Niet elke verwerking van personeelsgegevens vraagt om een volledige DPIA. De Autoriteit Persoonsgegevens (AP) werkt aan een lijst met verwerkingen waarvoor het mkb straks geen DPIA hoeft uit te voeren — en vraagt daar tot 10 augustus 2026 om reacties op. We zetten op een rij wat er verandert en waar de grens ligt.
Waar komt deze consultatie vandaan?
Artikel 35 lid 4 AVG geeft toezichthouders de ruimte om, naast een lijst met verwerkingen waarvoor een DPIA wel verplicht is, ook een lijst te publiceren met verwerkingen waarvoor dat niet nodig is. De AP maakt daar nu gebruik van, specifiek gericht op zelfstandigen en het mkb. Doel: onnodige administratieve last wegnemen bij verwerkingen die overduidelijk een laag risico opleveren.
Voor wie geldt de uitzondering?
De voorgestelde lijst is bedoeld voor zelfstandigen zonder personeel en werkgevers met maximaal 250 werknemers, actief in het Europese deel van Nederland. De belangrijkste voorgestelde vrijstelling:
Geen DPIA-plicht voor het verwerken van personeelsgegevens om wettelijke verplichtingen na te leven op het gebied van boekhouding, personeelsbeheer (HR), salarisadministratie, sociale zekerheid, ziektekostenverzekering en belastingen.
Waar de uitzondering niet geldt
De vrijstelling is uitdrukkelijk beperkt tot standaard, wettelijk verplichte HR- en salarisverwerkingen. Zodra er iets bij komt, geldt de uitzondering niet meer en moet je alsnog terug naar de gewone toets: wanneer is een DPIA verplicht?
- Profilering van werknemers, bijvoorbeeld voor prestatiebeoordeling met geautomatiseerde scores.
- Bijzondere persoonsgegevens, zoals biometrische identificatie of uitgebreide gezondheidsdata buiten de standaard verzuimregistratie.
- Stelselmatige monitoring van werknemers, zoals structurele controle van e-mail- of internetgebruik.
- Verwerkingen die vallen onder specifieke vereisten uit de platformwerkrichtlijn.
Status: nog geen definitieve lijst
Dit is een consultatie, geen definitieve regel. Reacties zijn welkom tot 10 augustus 2026 via st-mkb@autoriteitpersoonsgegevens.nl. Daarna stuurt de AP de aangepaste lijst naar de European Data Protection Board (EDPB) voor advies; pas na dat advies stelt de AP de definitieve lijst vast. Tot die tijd blijft de bestaande toets — de drie AVG-situaties, de AP-lijst met verplichte DPIA's en de EDPB-criteria — gewoon van kracht.
Kort samengevat: voor standaard HR- en salarisverwerkingen komt er waarschijnlijk een DPIA-vrijstelling voor het mkb, maar zodra profilering, bijzondere gegevens of structurele monitoring in beeld komen, verandert er niets. Twijfel je over jouw situatie? Lees eerst wat een DPIA precies inhoudt en volg bij twijfel ons DPIA-stappenplan.
Bron: Autoriteit Persoonsgegevens — AP vraagt reacties op lijst DPIA-uitzonderingen
Volgend in deze reeks: Het nieuwe EDPB DPIA-template