DPIA: Data Protection Impact Audit

Wat we doen

Binnen een organisatie zal in bepaalde gevallen een data protection impact audit (DPIA) moeten worden uitgevoerd. De privacy specialisten binnen onze praktijkgroep kunnen juridische ondersteuning bieden bij een DPIA. Uit een DPIA vloeien de risico’s en maatregelen van de organisatie voort. Na een DPIA kunnen dan ook maatregelen genomen worden om deze risico’s te minimaliseren. Onze praktijkgroep kan ook advies geven omtrent de implementatie van deze maatregelen.

Vragen over een DPIA? Neem dan contact met ons op.

Wat is een DPIA (Data Protection Impact Assessment)?

Een DPIA – in de Algemene verordening gegevensbescherming (AVG) een gegevensbeschermingseffectbeoordeling genoemd – is een instrument om voorafgaand aan een gegevensverwerking de privacyrisico’s in kaart te brengen en te beoordelen. De verplichting volgt uit artikel 35 van de Algemene verordening gegevensbescherming. Een DPIA is geen formaliteit achteraf: u voert deze uit vóórdat met de verwerking wordt begonnen, juist om risico’s voor de rechten en vrijheden van betrokkenen tijdig te onderkennen en passende maatregelen te treffen. Of u nu een internationaal concern bent dat een nieuw klantplatform lanceert of de bakker op de hoek die cameratoezicht overweegt: de juridische maatstaf is dezelfde, alleen de schaal verschilt. Deze pagina valt binnen onze expertise Privacy en gegevensbescherming.

Wanneer is een DPIA verplicht?

Op grond van artikel 35 lid 1 van de Algemene verordening gegevensbescherming is een DPIA verplicht wanneer een verwerking – met name bij gebruik van nieuwe technologieën – waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Artikel 35 lid 3 noemt drie situaties waarin een DPIA in ieder geval verplicht is:

• systematische en uitvoerige beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering, waaraan rechtsgevolgen zijn verbonden;
• grootschalige verwerking van bijzondere categorieën persoonsgegevens (artikel 9 AVG) of van gegevens over strafrechtelijke veroordelingen (artikel 10 AVG);
• stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.

De European Data Protection Board (EDPB) heeft daarnaast negen criteria opgesteld; wordt aan twee of meer daarvan voldaan, dan is een DPIA in beginsel vereist. De Autoriteit Persoonsgegevens heeft bovendien een lijst van verwerkingen vastgesteld waarvoor een DPIA altijd verplicht is, zoals heimelijk onderzoek, zwarte lijsten, fraudebestrijding, creditscoring, verwerking van gezondheids- of genetische gegevens, cameratoezicht, het monitoren van werknemers, locatie- en communicatiegegevens, Internet of Things, profilering en biometrische gegevens. Twijfelt u of uw verwerking onder deze categorieën valt? Dan beoordelen onze advocaten en bedrijfsjuristen dat aan de hand van uw concrete situatie.

Wat moet een DPIA bevatten?

Artikel 35 lid 7 van de Algemene verordening gegevensbescherming schrijft voor dat een DPIA ten minste bevat:

• een systematische beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden;
• een beoordeling van de noodzaak en de evenredigheid van de verwerkingen in relatie tot die doeleinden;
• een beoordeling van de risico’s voor de rechten en vrijheden van de betrokkenen;
• de beoogde maatregelen om die risico’s aan te pakken, met inbegrip van waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen.

Heeft uw organisatie een functionaris voor gegevensbescherming aangewezen, dan wint u op grond van artikel 35 lid 2 van de Algemene verordening gegevensbescherming diens advies in. Zie ook onze pagina over de functionaris gegevensbescherming (FG).

Het stappenplan: zo verloopt een DPIA

Een zorgvuldige DPIA volgt een vast stramien. Wij begeleiden dat traject van begin tot eind:

1. beschrijven van de verwerking, de gegevensstromen, de betrokken partijen en de verwerkingsdoeleinden;
2. toetsen of er een rechtmatige grondslag is en of de verwerking noodzakelijk en evenredig is;
3. identificeren en wegen van de risico’s voor betrokkenen;
4. vaststellen van passende technische en organisatorische maatregelen om de risico’s te beperken;
5. vastleggen van de uitkomsten en, waar passend, het raadplegen van betrokkenen of hun vertegenwoordigers;
6. periodiek herzien wanneer het risico van de verwerking verandert.

Wij stemmen de diepgang af op uw organisatie – van een uitgebreide beoordeling bij een internationaal concern tot een werkbare, proportionele aanpak voor de kleine ondernemer.

Voorafgaande raadpleging van de Autoriteit Persoonsgegevens

Blijkt uit de DPIA dat een verwerking een hoog risico oplevert dat u niet met redelijke maatregelen kunt beperken, dan bent u op grond van artikel 36 van de Algemene verordening gegevensbescherming verplicht de Autoriteit Persoonsgegevens te raadplegen vóórdat u met de verwerking begint. Onze advocaten verzorgen die voorafgaande raadpleging, voeren het overleg met de toezichthouder en vertalen de reactie naar concrete vervolgstappen.

Risico’s van het achterwege laten van een DPIA

Het ten onrechte niet uitvoeren van een verplichte DPIA is zelfstandig beboetbaar. Op grond van artikel 83 lid 4 van de Algemene verordening gegevensbescherming kan de Autoriteit Persoonsgegevens een boete opleggen van maximaal 10 miljoen euro of, voor ondernemingen, tot 2% van de wereldwijde jaaromzet – naast eventuele aansprakelijkheid jegens betrokkenen en reputatieschade. Een goed gedocumenteerde DPIA is bovendien een belangrijk bewijsmiddel voor de verantwoordingsplicht (artikel 5 lid 2 AVG). Een DPIA gaat vaak hand in hand met een bredere privacy audit en met een sluitend datalekken-protocol.

Hoe MKB Juristen u helpt bij een DPIA

Bij MKB Juristen werken advocaten en bedrijfsjuristen samen in gemengde teams. Dat betekent dat u zowel juridisch hoogwaardige beoordeling krijgt als praktische, implementeerbare begeleiding. Wij helpen u bij het bepalen öf een DPIA verplicht is, voeren de DPIA samen met u uit, adviseren over de te nemen maatregelen en begeleiden de implementatie daarvan. Of u nu een internationaal concern bent of de bakker op de hoek: wij vertalen de eisen van de Algemene verordening gegevensbescherming naar uw schaal en sector.

Veelgestelde vragen over de DPIA

Is een DPIA voor elke organisatie verplicht?

Nee. Een DPIA is alleen verplicht wanneer een verwerking waarschijnlijk een hoog risico oplevert voor betrokkenen, of wanneer de verwerking op de lijst van de Autoriteit Persoonsgegevens staat. Voor veel kleine verwerkingen is een DPIA niet nodig, maar het is wel verstandig die afweging vast te leggen.

Wie voert de DPIA uit?

De verwerkingsverantwoordelijke is verantwoordelijk voor de DPIA. Is er een functionaris voor gegevensbescherming, dan wordt diens advies ingewonnen. Wij ondersteunen de uitvoering juridisch en inhoudelijk.

Hoe vaak moet een DPIA worden herzien?

Een DPIA wordt herzien wanneer het risico van de verwerking verandert, bijvoorbeeld bij nieuwe technologie, nieuwe doeleinden of een gewijzigde gegevensstroom.

Wat is het verschil tussen een DPIA en een privacy audit?

Een DPIA richt zich op de risicobeoordeling van een specifieke (voorgenomen) verwerking, terwijl een privacy audit de bredere AVG-naleving van uw organisatie toetst. Beide vullen elkaar aan.

Vragen over een DPIA?

Neem gerust contact met ons op. Onze privacyspecialisten denken graag met u mee – van de eerste afweging of een DPIA nodig is tot en met de implementatie van de maatregelen.