MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Een DPIA (data protection impact assessment), ook wel GEB genoemd, is een verplichte risicobeoordeling die u vóóraf uitvoert wanneer een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert. Met een DPIA brengt u de privacyrisico’s in kaart en treft u maatregelen om die te beperken. Pas daarna mag u de gegevens verwerken. Hieronder leest u wanneer een DPIA verplicht is en hoe u er een uitvoert.
Wat is een DPIA (GEB)?
Een DPIA — voluit data protection impact assessment, in het Nederlands gegevensbeschermingseffectbeoordeling (GEB) — is een instrument om de privacyrisico’s van een gegevensverwerking systematisch in kaart te brengen. Op basis daarvan treft u maatregelen om die risico’s te beperken. De DPIA is een van de verplichtingen die de AVG (Algemene verordening gegevensbescherming) kan opleggen om de privacy van betrokkenen beter te beschermen.
Wanneer is een DPIA verplicht?
De verplichting om een DPIA uit te voeren staat in de AVG en, voor specifieke domeinen, in de Wet politiegegevens (Wpg) en de Wet justitiële en strafvorderlijke gegevens (Wjsg). Voor ondernemingen zijn de AVG-bepalingen relevant.
Hoofdregel: een DPIA is verplicht zodra een verwerking waarschijnlijk een hoog privacyrisico oplevert. De wet zegt niet precies wanneer dat het geval is; als verwerkingsverantwoordelijke moet u dat zelf beoordelen. De Europese privacytoezichthouders hebben hiervoor een lijst met negen criteria opgesteld die u bij die afweging kunt gebruiken. Concludeert u dat sprake is van een waarschijnlijk hoog risico, dan voert u éérst een DPIA uit en verwerkt u de gegevens pas daarna.
Volgens de AVG is een DPIA in elk geval verplicht als u:
- op grote schaal bijzondere persoonsgegevens verwerkt;
- op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied;
- systematisch en uitgebreid persoonlijke aspecten beoordeelt via geautomatiseerde verwerking (zoals profilering) en daarop besluiten baseert met gevolgen voor betrokkenen.
Daarnaast heeft de Autoriteit Persoonsgegevens (AP) een lijst opgesteld van verwerkingen waarvoor een DPIA verplicht is, bijvoorbeeld grootschalige verwerking van genetische persoonsgegevens in biodatabanken. Die lijst is niet limitatief: ook in andere gevallen kan de verplichting gelden. TODO_VERIFY: de AP-lijst en de criteria kunnen worden geactualiseerd — controleer de actuele versie bij de Autoriteit Persoonsgegevens.
Hoe voer je een DPIA uit?
Er bestaan verschillende methodes om een DPIA uit te voeren. U bent in beginsel vrij in de keuze van methode, zolang u voldoet aan de basisvereisten uit de AVG. Een goede DPIA biedt in elk geval:
- voldoende inzicht in de privacyrisico’s van de verwerking;
- een beschrijving van de maatregelen om die risico’s te beperken;
- de daadwerkelijke uitvoering van die maatregelen.
Blijkt uit de DPIA dat u de risico’s onvoldoende kunt beperken, dan moet u vóór de verwerking overleggen met de Autoriteit Persoonsgegevens. Dit heet een voorafgaande raadpleging.
Veelgestelde vragen over de DPIA
Wat is het verschil tussen een DPIA en een GEB?
Geen inhoudelijk verschil: DPIA is de Engelse term (data protection impact assessment), GEB de Nederlandse (gegevensbeschermingseffectbeoordeling). Het gaat om hetzelfde instrument.
Moet ik altijd een DPIA uitvoeren?
Nee, alleen wanneer een verwerking waarschijnlijk een hoog privacyrisico oplevert, of valt onder de gevallen die de AVG of de AP-lijst aanwijzen. Bij twijfel is een voortoets (pre-DPIA) verstandig.
Wanneer moet ik de Autoriteit Persoonsgegevens raadplegen?
Als uit de DPIA blijkt dat u de hoge risico’s niet voldoende kunt beperken. U moet dan vóór de verwerking een voorafgaande raadpleging bij de AP doen.
Wat gebeurt er als ik geen DPIA uitvoer terwijl dat wel moet?
Het ten onrechte achterwege laten van een verplichte DPIA is een overtreding van de AVG en kan leiden tot handhaving door de Autoriteit Persoonsgegevens.
Hulp nodig bij het uitvoeren van een DPIA?
Een DPIA uitvoeren is complex, maar als ondernemer kunt u niet om de privacyregels heen. Wij adviseren u over de vraag of een DPIA verplicht is, over de uitvoering en over de maatregelen om risico’s te beperken.
Lees meer over onze expertise rond de DPIA en privacy en gegevensbescherming. Bekijk ook ons AVG-pakket of plan een vrijblijvend intakegesprek in.
