Zodra de BRP-gegevens met andere gegevens in een database worden opgeslagen, is niet meer de Wet BRP, maar de AVG van toepassing.
Bij zowel de Wet BRP als bij de AVG kent men een kennisgevingsplicht:
- Artikel 3.23, eerstel lid van de Wet BRP;
- Artikel 19 AVG;
- Artikel 23 AVG.
Die kennisgevingsplicht houdt in dat u het aan andere organisaties moet laten weten als u persoonsgegevens in de BRP heeft gerectificeerd of gewist. Toch hoeft u dit niet altijd te doen. In het geval van ‘onmogelijk of onevenredig veel inspanning’, dit is in lijn met artikel 19 AVG, waarin staat dat u ontvangers niet hoeft te informeren als dat onmogelijk blijkt of onevenredig veel inspanning zou kosten.
Tot slot, behoort iedere verwerkingsverantwoordelijke voor de BRP zich te houden aan onder meer de volgende plichten op grond van de AVG:
- De regels volgen bij het inschakelen van verwerkers (artikel 28 AVG);
- Een verwerkingsregister bijhouden (artikel 30 AVG);
- Datalekken melden (artikel 33 en 34 AVG);
- Een Functionaris Gegevensbescherming (FG) aanwijzen (artikel 37 en 38 AVG).