MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Een dpia data protection impact assessment opstellen doe je in vaste stappen: je beschrijft de verwerking, toetst noodzaak en proportionaliteit, brengt de risico’s voor betrokkenen in kaart en legt de maatregelen vast waarmee je die risico’s beheerst. De AVG schrijft in artikel 35 lid 7 voor welke onderdelen minimaal in de DPIA moeten staan. Doe je dit zorgvuldig, dan heb je niet alleen een verplicht document, maar ook een concreet overzicht van wat je moet regelen voordat je met de verwerking start.
Het korte antwoord
- Beschrijf de verwerking: doel, aard, omvang, context en betrokken gegevens.
- Toets noodzaak en proportionaliteit: is de verwerking nodig en in verhouding tot het doel?
- Beoordeel de risico’s voor de rechten en vrijheden van de betrokkenen.
- Bepaal maatregelen om die risico’s te verkleinen (technisch en organisatorisch).
- Win advies in bij de FG als je die hebt (artikel 35 lid 2 AVG).
- Bepaal het vervolg: starten, aanpassen of de toezichthouder raadplegen (artikel 36 AVG).
Dpia data protection impact assessment opstellen: de verplichte onderdelen
Artikel 35 lid 7 AVG noemt vier onderdelen die minimaal in de DPIA horen. Deze vormen de ruggengraat van het document:
- Een systematische beschrijving van de beoogde verwerkingen en de doeleinden, inclusief het gerechtvaardigd belang als je dat als grondslag gebruikt.
- Een beoordeling van de noodzaak en de proportionaliteit van de verwerking in verhouding tot de doeleinden.
- Een beoordeling van de risico’s voor de rechten en vrijheden van de betrokkenen.
- De beoogde maatregelen om die risico’s aan te pakken, inclusief waarborgen en beveiligingsmaatregelen om de bescherming van persoonsgegevens aan te tonen.
Deze vier onderdelen zijn het minimum. In de praktijk voeg je een beschrijving van de betrokken partijen, de bewaartermijnen en de grondslag per verwerking toe, zodat het document ook als verantwoording richting de toezichthouder dienstdoet.
Stap 1 en 2: verwerking beschrijven en noodzaak toetsen
Begin met een feitelijke beschrijving. Welke persoonsgegevens verwerk je, van wie, met welk doel, op welke grondslag (artikel 6 AVG) en hoe lang bewaar je ze? Beschrijf ook de gegevensstromen: wie heeft toegang, welke verwerkers zijn betrokken en gaan er gegevens naar buiten de Europese Economische Ruimte?
Toets vervolgens de noodzaak en proportionaliteit. Kun je het doel bereiken met minder gegevens of met een minder ingrijpend middel? Het beginsel van dataminimalisatie (artikel 5 lid 1 sub c AVG) staat hier centraal. Als een lichter alternatief hetzelfde doel dient, is de zwaardere verwerking niet proportioneel.
Stap 3 en 4: risico’s beoordelen en maatregelen bepalen
Beoordeel de risico’s vanuit het perspectief van de betrokkene, niet vanuit dat van je organisatie. Denk aan identiteitsfraude, discriminatie, reputatieschade, verlies van controle over gegevens of financiële schade. Weeg zowel de kans als de mogelijke impact. Voor elk risico bepaal je maatregelen: technisch (versleuteling, pseudonimisering, toegangsbeheer) en organisatorisch (autorisatiebeleid, bewaartermijnen, verwerkersovereenkomsten, training).
Het doel is het restrisico terug te brengen tot een aanvaardbaar niveau. Documenteer per risico welke maatregel je neemt en welk restrisico overblijft. Die koppeling maakt de DPIA controleerbaar en toont aan dat je bewust hebt afgewogen.
Stap 5 en 6: advies FG en vervolg bepalen
Heb je een functionaris voor gegevensbescherming, dan win je bij het opstellen advies in (artikel 35 lid 2 AVG). Leg dat advies en wat je ermee hebt gedaan vast. Waar passend vraag je ook de mening van de betrokkenen of hun vertegenwoordigers, zoals de ondernemingsraad bij verwerkingen die werknemers raken.
Blijkt uit de DPIA dat er ondanks je maatregelen een hoog restrisico blijft, dan verplicht artikel 36 AVG je tot voorafgaande raadpleging van de Autoriteit Persoonsgegevens voordat je start. Blijft het restrisico aanvaardbaar, dan mag je beginnen en houd je de DPIA actueel.
Een praktijkvoorbeeld: een mkb-webshop wil klantgedrag combineren met externe data om gerichte profielen op te bouwen. Bij het opstellen van de DPIA blijkt dat de profilering verder gaat dan nodig is voor het doel. De onderneming beperkt de dataset en schrapt een externe databron, waarna het restrisico aanvaardbaar wordt en raadpleging van de toezichthouder niet nodig is.
Eerlijke aanbeveling
Je hebt niet altijd een jurist nodig om een DPIA op te stellen. Bij een overzichtelijke verwerking met een duidelijk doel en beperkte gegevens kun je de vier onderdelen van artikel 35 lid 7 AVG met een goed sjabloon en de handreiking van de Autoriteit Persoonsgegevens zelf invullen. Wordt het complex, bijvoorbeeld bij bijzondere gegevens, profilering, doorgifte buiten de EER of nieuwe technologie, dan loont het om juridisch te laten meekijken. De beoordeling van noodzaak en proportionaliteit is vaak het lastigste onderdeel en juist daar gaat het in de praktijk mis.
Meer weten? Bekijk het dpia data protection impact assessment, lees de uitleg over wat een dpia is en over het dpia laten opstellen.
Veelgestelde vragen
Artikel 35 lid 7 AVG noemt vier onderdelen: een beschrijving van de verwerking en de doeleinden, een beoordeling van noodzaak en proportionaliteit, een beoordeling van de risico’s voor betrokkenen en de maatregelen om die risico’s aan te pakken.
Begin met een feitelijke beschrijving van de verwerking: welke gegevens, van wie, met welk doel, op welke grondslag en hoe lang. Breng ook de gegevensstromen, verwerkers en eventuele doorgifte buiten de EER in kaart.
Je beoordeelt of de verwerking nodig is en in verhouding staat tot het doel. Kun je het doel bereiken met minder gegevens of een lichter middel, dan is de zwaardere verwerking niet proportioneel. Dataminimalisatie (artikel 5 AVG) staat centraal.
Vanuit de betrokkene, niet vanuit je organisatie. Denk aan identiteitsfraude, discriminatie, reputatieschade of verlies van controle. Weeg zowel de kans als de impact en koppel er per risico een concrete maatregel aan.
Als je organisatie een FG heeft, win je bij het opstellen advies in (artikel 35 lid 2 AVG). Leg dat advies vast en beschrijf wat je ermee hebt gedaan. De FG adviseert, de verwerkingsverantwoordelijke blijft eindverantwoordelijk.
Dan raadpleeg je de Autoriteit Persoonsgegevens voordat je start (artikel 36 AVG). Blijft het restrisico na je maatregelen aanvaardbaar, dan mag je beginnen en houd je de DPIA actueel.
Bij een overzichtelijke verwerking kun je de vier onderdelen met een goed sjabloon zelf invullen. Bij bijzondere gegevens, profilering, doorgifte buiten de EER of nieuwe technologie is juridische ondersteuning verstandig, vooral bij de toets van noodzaak en proportionaliteit.
