De Europese privacytoezichthouders verenigd in de EDPB en de Europese privacytoezichthouder EDPS zijn positief over een voorstel van de Europese Commissie om een verplichting uit de AVG te versoepelen. Wel zijn er vragen over het verder oprekken van de verplichting dan in eerste instantie door Brussel was voorgesteld. Burgerrechtenbewegingen maken zich zorgen over het voorstel.

De AVG verplicht dat organisaties via een verwerkingsregister vastleggen welke persoonsgegevens ze verwerken. De vereiste hangt af van de omvang van de organisatie en het type gegevens dat wordt verwerkt. Zo hoeven op dit moment organisaties met minder dan 250 medewerkers geen register bij te houden, tenzij er structureel persoonsgegevens worden verwerkt, verwerkte persoonsgegevens waarschijnlijk een risico kunnen inhouden voor de rechten en vrijheden van de betrokken personen of dat het om bijzondere persoonsgegevens gaat.

Als het aan de Europese Commissie ligt wordt de uitzondering voor organisaties kleiner dan 250 medewerkers uitgebreid naar organisaties met minder dan 750 medewerkers. In eerste instantie werd nog een aantal van minder dan 500 medewerkers genoemd, maar dat aantal is nu op 750 gezet. De privacytoezichthouders hebben Brussel gevraagd waarom er opeens een limiet van 750 wordt aangehouden en niet van 500. Desondanks zijn de toezichthouders positief, omdat het administratieve lasten voor kleine bedrijven zou verminderen.

Een coalitie van meer dan honderd burgerrechtenbewegingen, academici, bedrijven, vakbonden en experts maken zich zorgen over plannen van Brussel om de AVG aan te passen. In een open brief waarschuwden ze afgelopen mei dat het doorvoeren van aanpassingen aan de "hoeksteen van de digitale wetgeving van de EU" het risico met zich meebrengt dat hard gewonnen rechten worden aangetast. Zodra de eerste aanpassingen zijn doorgevoerd loopt de AVG verder risico op deregulatie, aldus de organisaties.