Wat is een dpia data protection impact assessment? Uitleg en gebruik

Wat is een dpia data protection impact assessment: het is een verplichte risicobeoordeling waarin je vooraf in kaart brengt welke privacyrisico’s een gegevensverwerking oplevert en hoe je die risico’s afdekt. De verplichting staat in artikel 35 van de Algemene verordening gegevensbescherming (AVG). Je bent verplicht een DPIA uit te voeren wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van de betrokkenen. De uitkomst bepaalt of je gewoon mag starten, extra maatregelen moet nemen, of eerst de Autoriteit Persoonsgegevens moet raadplegen.

Het korte antwoord

• Wat: een gestructureerde beoordeling van privacyrisico’s van een verwerking, vooraf uitgevoerd.
• Grondslag: artikel 35 AVG (verplicht bij hoog risico).
• Doel: risico’s onderkennen en beheersen voordat je begint met verwerken.
• Wie: de verwerkingsverantwoordelijke, met advies van de functionaris voor gegevensbescherming (FG) als die er is.
• Wanneer verplicht: bij hoog risico, bij grootschalige bijzondere gegevens, systematische monitoring of profilering.
• Vervolg: bij restrisico dat je niet kunt afdekken volgt voorafgaande raadpleging van de Autoriteit Persoonsgegevens (artikel 36 AVG).

Wat is een dpia data protection impact assessment precies?

Een DPIA is geen formulier dat je achteraf invult, maar een beoordeling die je uitvoert voordat je met een verwerking start. Je beschrijft de verwerking, toetst de noodzaak en de proportionaliteit, en weegt de risico’s voor de mensen van wie je gegevens verwerkt. Op basis daarvan neem je maatregelen om die risico’s te verkleinen. De AVG noemt dit een gegevensbeschermingseffectbeoordeling. In de praktijk gebruikt vrijwel iedereen de Engelse term data protection impact assessment.

De DPIA is een instrument uit het bredere principe van verantwoording (accountability). De verwerkingsverantwoordelijke moet niet alleen de AVG naleven, maar ook kunnen aantonen dat hij dat doet. Een gedocumenteerde DPIA is daarvoor een van de belangrijkste bewijsstukken.

Wanneer is een DPIA verplicht?

Artikel 35 lid 1 AVG verplicht een DPIA wanneer een verwerking waarschijnlijk een hoog risico oplevert. Artikel 35 lid 3 noemt drie situaties waarin dit altijd geldt:

• Systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering, met rechtsgevolgen of vergelijkbare gevolgen voor de betrokkene.
• Grootschalige verwerking van bijzondere categorieën gegevens (zoals gezondheid, ras, religie) of van strafrechtelijke gegevens.
• Stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten, bijvoorbeeld met cameratoezicht.

Daarnaast heeft de Autoriteit Persoonsgegevens een lijst gepubliceerd met verwerkingen waarvoor een DPIA sowieso verplicht is, zoals grootschalige verwerking van locatiegegevens, verwerking van gegevens over kwetsbare personen, of grootschalige monitoring van werknemers. Twijfel je? Dan geldt de criteria-checklist van de Europese privacytoezichthouders: hoe meer criteria van toepassing zijn, hoe eerder een DPIA nodig is.

De rol van de functionaris voor gegevensbescherming

Heeft je organisatie een functionaris voor gegevensbescherming (FG) aangesteld, dan schrijft artikel 35 lid 2 AVG voor dat je bij het uitvoeren van de DPIA advies inwint bij die FG. De taken van de FG staan in artikel 39 AVG: toezicht houden op naleving, adviseren over de DPIA en optreden als contactpunt voor de Autoriteit Persoonsgegevens. De FG voert de DPIA niet zelf uit, maar toetst en adviseert. De eindverantwoordelijkheid blijft bij de verwerkingsverantwoordelijke.

Veel mkb-bedrijven hoeven geen FG te hebben. De verplichting geldt vooral bij grootschalige verwerking van bijzondere gegevens of stelselmatige monitoring. Ook zonder FG kun en moet je een DPIA uitvoeren wanneer artikel 35 dat vereist.

Wat gebeurt er na de DPIA?

De uitkomst van de DPIA bepaalt je vervolgstappen. Kun je de risico’s met redelijke maatregelen tot een aanvaardbaar niveau terugbrengen, dan mag je met de verwerking starten. Blijft er ondanks je maatregelen een hoog restrisico bestaan, dan verplicht artikel 36 AVG je tot voorafgaande raadpleging van de Autoriteit Persoonsgegevens. Die toezichthouder reageert in beginsel binnen acht weken (met een mogelijke verlenging van zes weken) en kan adviseren of ingrijpen.

Een DPIA is geen eenmalig document. Verandert de verwerking wezenlijk, bijvoorbeeld door nieuwe technologie of een uitbreiding van de doeleinden, dan herzie je de beoordeling. Toezichthouders adviseren om een DPIA periodiek opnieuw te bekijken.

Een praktijkvoorbeeld: een mkb-bedrijf in de zorg wil een app inzetten die gezondheidsgegevens van cliënten verwerkt en analyseert. Omdat het gaat om grootschalige verwerking van bijzondere gegevens, is een DPIA verplicht. Uit de beoordeling blijkt dat versleuteling en strikte toegangsrechten het risico voldoende beperken, waardoor voorafgaande raadpleging van de toezichthouder niet nodig is.

Eerlijke aanbeveling

Je hebt niet altijd een jurist nodig. Verwerk je alleen gewone klant- en personeelsgegevens voor normale bedrijfsvoering, zonder profilering, bijzondere gegevens of grootschalige monitoring, dan is een DPIA vaak niet verplicht en volstaat een goed verwerkingsregister. Twijfel je of je onder artikel 35 valt, of gaat het om bijzondere gegevens, profilering of cameratoezicht, dan is juridische toetsing verstandig. Een verkeerd oordeel over de DPIA-plicht is een van de meest voorkomende AVG-overtredingen, en de boetes lopen op tot forse bedragen.

Wil je zeker weten of en hoe je een DPIA moet uitvoeren, lees dan verder over het dpia data protection impact assessment, over het dpia opstellen en over het dpia laten opstellen.

Veelgestelde vragen