Terugblik op Stay Tuned as DPO 2026 Q1: Een kwartaal vol privacy-inzichten

Tijdens het eerste kwartaal van 2026 dook DPI in de belangrijkste ontwikkelingen, rechtspraak en nieuwe tools waar je als Data Protection Officer niet omheen kunt. Ben je benieuwd wat er allemaal op de agenda stond? Hier zijn de highlights van een goedgevulde sessie.

Dit kwartaal passeerden in totaal maar liefst 28 beslissingen de revue. De adviesraad van DPI gaat elk kwartaal aan de slag met long en short lists met uitspraken. Een Stay Tuned voorbereiden is steeds een beetje afscheid nemen van beslissingen die het net niet halen. Ons belangrijkste selectiecriterium? Relevantie voor de DPO. Hoe dan ook, het selecteren van alle beslissingen blijft een grote uitdaging. De nederlandstalige sessie werd gegeven door Peter Van Dyck, partner bij A&O Shearman, die de deelnemers meenam door de belangrijkste privacyontwikkelingen van het eerste kwartaal van 2026

De Thema’s

De sessie bood een helikopterview van uitspraken van de Belgische Gegevensbeschermingsautoriteit (GBA) en het Marktenhof, maar keek ook over de grenzen heen met arresten van het Europees Hof van Justitie (HvJEU) en beslissingen uit onder andere Frankrijk, Spanje en Noorwegen. Dit gaf de aanwezige DPO’s een uitstekend beeld van de huidige handhavingsprioriteiten in heel Europa.

De volgende thema’s vormden de rode draad doorheen de Stay Tuned van Q1 2026:

De positie van de DPO

Jouw onafhankelijkheid als DPO is heilig. We bespraken de grenzen van bescherming tegen ontslag en de absolute noodzaak van vertrouwelijkheid wanneer medewerkers de DPO contacteren (mogen DPO-gerichte brieven zomaar geopend worden?). Ook werd benadrukt dat de DPO een strategische partner hoort te zijn op het hoogste directieniveau.

HR en Privacy in de praktijk

Personeelszaken blijven een mijnenveld. We keken naar de spelregels rond het aftoetsen van referenties bij rekrutering en het recht van inzage van werknemers in hun eigen evaluatienotities. Daarnaast kwam het beheer van e-mailadressen na uitdiensttreding aan bod. Een belangrijke les: een technische ‘workaround’ (zoals het doorsturen van e-mails naar een black hole of /dev/null) ontslaat een organisatie niet van haar verplichting om gegevens daadwerkelijk te wissen.

Toestemming is geen blanco cheque

Op het vlak van marketing werd nogmaals duidelijk dat doelbinding essentieel is. Toestemming krijgen om leden via e-mail op de hoogte te houden van sportnieuws, betekent niet dat je diezelfde e-mailadressen mag gebruiken voor de promotie van nachtclubevenementen. Transparantie vereist specifieke en gescheiden toestemmingen per doeleinde.

Beveiliging is meer dan IT

Databescherming gaat breder dan louter hacking. Zo zagen we dat het verlies van fysieke, papieren contracten in een archief evenzeer een inbreuk op de beveiligingsplicht is. Bovendien toonden cases uit de zorgsector aan dat organisaties hun logbestanden proactief moeten controleren om ongeoorloofde inzage in patiëntendossiers tegen te gaan.

Een goedgevulde DPO Toolkit

Een Stay Tuned sessie is pas geslaagd als je als DPO met concrete middelen terug naar je bureau keert. De deelnemers kregen een breed scala aan praktische tools mee:

• DPIA en Risicoanalyses: De DPO’s kregen toegang tot het Nederlandse beoordelingsrooster om de kwaliteit van DPIA’s te toetsen. Daarnaast werd een generieke DPIA voor transcriptie met AI gedeeld, inclusief een Privacy by Design checklist voor wie met spraak-naar-tekst AI aan de slag wil.
• LIA Vragenlijst: Voor het correct documenteren van het ‘gerechtvaardigd belang’ werd een handige en gedetailleerde vragenlijst van de toezichthouder uit Hamburg aangereikt.
• Cheat Sheet Gezamenlijke Verwerkingsverantwoordelijkheid: Een praktisch overzicht voor wanneer je samen met partners gegevens verwerkt.
• Cloud Exit-strategie: Een checklist om de juridische en technische risico’s te beheren wanneer je als organisatie van of naar de cloud migreert.
• Dark Patterns Tool: Een tool ontwikkeld door het innovatielab van de Franse CNIL om misleidende interface-ontwerpen te helpen identificeren.

En de omnibus

Tijdens de Stay Tuned sessie bespraken we het gezamenlijk advies (2/2026) van de EDPB en EDPS over het wetgevend voorstel voor de Digital Omnibus. Als positief punt noteerden we dat er steun is voor praktische vereenvoudigingen, zoals het verlengen van de meldtermijn voor datalekken naar 96 uur (enkel bij een hoog risico) en geautomatiseerde signalen om ‘cookie-moeheid’ tegen te gaan. Maar deze Digital Omnibus toont ook enkele rode vlaggen. De toezichthouders waarschuwen echter fel voor onderdelen die de AVG dreigen uit te hollen. Ze verzetten zich tegen de inperking van de definitie van persoonsgegevens (gebaseerd op selectieve rechtspraak), tegen de macht van de Europese Commissie om te bepalen wanneer gepseudonimiseerde gegevens hun status verliezen, en tegen de aantasting van de onafhankelijkheid van het EDPB.