Wat is een DPIA en wanneer is deze verplicht volgens de AVG?

Organisaties verwerken dagelijks grote hoeveelheden persoonsgegevens. Van klant- en personeelsgegevens tot medische informatie en gegevens binnen digitale systemen. Maar hoe weet je of een verwerking voldoende rekening houdt met de privacy van betrokkenen? En wanneer is een aanvullende beoordeling noodzakelijk?

Een Data Protection Impact Assessment (DPIA) helpt organisaties om privacyrisico's vooraf in kaart te brengen en passende maatregelen te treffen. In bepaalde situaties is het uitvoeren van een DPIA verplicht volgens de Algemene Verordening Gegevensbescherming (AVG).

In dit artikel leggen we uit wat een DPIA is, wanneer deze verplicht is en hoe je een DPIA in de praktijk uitvoert.

Wat is een DPIA?

Een DPIA (Data Protection Impact Assessment) is een beoordeling waarmee organisaties vooraf onderzoeken welke risico's een verwerking van persoonsgegevens oplevert voor de rechten en vrijheden van betrokkenen. In het Nederlands wordt dit ook wel een gegevensbeschermingseffectbeoordeling (GEB) genoemd.

Met een DPIA brengt een organisatie in kaart welke persoonsgegevens worden verwerkt, waarom deze verwerking noodzakelijk is en welke gevolgen dit kan hebben voor betrokkenen. Vervolgens wordt beoordeeld welke maatregelen nodig zijn om de vastgestelde risico's te beperken.

Een DPIA is daarmee meer dan een juridische verplichting. Het is een praktisch instrument om privacyrisico's vroegtijdig te herkennen, weloverwogen keuzes te maken en persoonsgegevens verantwoord te verwerken.

Waarom is een DPIA belangrijk?

Het verwerken van persoonsgegevens brengt risico's met zich mee. Denk aan ongeoorloofde toegang tot gevoelige informatie, onbedoelde gegevensdeling of geautomatiseerde besluitvorming met nadelige gevolgen voor betrokkenen.

Zonder voorafgaande beoordeling worden dergelijke risico's soms pas zichtbaar wanneer een systeem al in gebruik is. Een DPIA helpt organisaties om:

• Privacyrisico's tijdig te identificeren: mogelijke gevolgen voor betrokkenen herkennen voordat een verwerking begint.
• Passende maatregelen te bepalen: technische en organisatorische oplossingen vaststellen om risico's te beperken.
• AVG-naleving aantoonbaar te maken: onderbouwen welke afwegingen zijn gemaakt en hoe privacyrisico's worden beheerst.
• Betere beslissingen te nemen: privacy meenemen bij de ontwikkeling van processen, systemen en technologieën.

Een goed uitgevoerde DPIA draagt daarmee bij aan een zorgvuldige en aantoonbare omgang met persoonsgegevens.

Wanneer is een DPIA verplicht volgens de AVG?

Volgens artikel 35 van de AVG is een DPIA verplicht wanneer een voorgenomen verwerking van persoonsgegevens waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van natuurlijke personen.

Niet iedere verwerking vereist automatisch een DPIA. De verplichting hangt onder andere af van de aard, omvang, context en doeleinden van de verwerking.

De AVG noemt drie situaties waarin in ieder geval een DPIA moet worden uitgevoerd:

1. Systematische en uitgebreide beoordeling van personen: bijvoorbeeld profilering waarop besluiten met juridische of vergelijkbaar aanzienlijke gevolgen worden gebaseerd.
2. Grootschalige verwerking van bijzondere persoonsgegevens: bijvoorbeeld gezondheidsgegevens of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten.
3. Stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten: bijvoorbeeld bepaalde vormen van cameratoezicht.

Daarnaast heeft de Autoriteit Persoonsgegevens een lijst met verplichte DPIA's opgesteld. Deze lijst is niet uitputtend: ook andere verwerkingen kunnen een hoog privacyrisico opleveren.

Hoe bepaal je of een DPIA nodig is?

Om te beoordelen of een DPIA verplicht is, kunnen organisaties gebruikmaken van de negen criteria van de Europese privacytoezichthouders. Deze hebben onder andere betrekking op profilering, geautomatiseerde besluitvorming, grootschalige gegevensverwerking, monitoring, kwetsbare personen en innovatieve technologieën.

Als vuistregel geldt dat een DPIA doorgaans noodzakelijk is wanneer een verwerking aan twee of meer criteria voldoet. Ook bij één criterium kan een DPIA verplicht zijn, afhankelijk van de omstandigheden.

De Autoriteit Persoonsgegevens licht deze criteria en de DPIA-verplichting verder toe.

Voor welke verwerkingen wordt een DPIA uitgevoerd?

Een DPIA kan relevant zijn voor uiteenlopende processen en technologieën. Het gaat niet uitsluitend om grote IT-projecten. Ook bestaande werkprocessen of veranderingen in de manier waarop persoonsgegevens worden gebruikt, kunnen aanleiding geven tot een DPIA.

Of een DPIA daadwerkelijk verplicht is, moet per verwerking worden beoordeeld.

DPIA bij gemeenten

Gemeenten verwerken persoonsgegevens voor uiteenlopende taken, zoals jeugdzorg, schuldhulpverlening en handhaving. Een DPIA bij een gemeente kan bijvoorbeeld nodig zijn bij gegevensuitwisseling tussen ketenpartners, nieuwe systemen binnen het sociaal domein of de inzet van algoritmen.

Hierbij is het belangrijk om niet alleen technische risico's, maar ook de rechtmatigheid, proportionaliteit en gevolgen voor kwetsbare inwoners zorgvuldig te beoordelen.

DPIA in het onderwijs

Ook onderwijsinstellingen verwerken veel persoonsgegevens, waaronder leerlinggegevens, leerprestaties en informatie binnen digitale leeromgevingen.

Een DPIA in het onderwijs kan relevant zijn bij nieuwe leerlingvolgsystemen, onderwijsapplicaties of technologieën die leerprestaties analyseren. Daarbij verdient de bescherming van persoonsgegevens van minderjarigen bijzondere aandacht.

DPIA uitvoeren: hoe werkt het?

Een DPIA bestaat uit verschillende onderdelen die samen inzicht geven in de gegevensverwerking, de privacyrisico's en de benodigde maatregelen. De European Data Protection Board (EDPB) biedt hiervoor aanvullende richtlijnen.

Stap 1. Beschrijf de gegevensverwerking

Breng in kaart welke persoonsgegevens worden verwerkt, voor welke doeleinden, door welke partijen en hoe lang de gegevens worden bewaard. Leg ook de betrokken systemen en gegevensuitwisseling vast.

Stap 2. Beoordeel de noodzaak en proportionaliteit

Onderzoek of de verwerking noodzakelijk is om het beoogde doel te bereiken en of de verwerking in verhouding staat tot dat doel. Kijk daarbij naar de rechtsgrondslag, gegevensminimalisatie en minder ingrijpende alternatieven.

Stap 3. Identificeer de privacyrisico's

Beoordeel welke gevolgen de verwerking kan hebben voor betrokkenen. Denk aan datalekken, discriminatie, verlies van controle over persoonsgegevens of onrechtmatige besluitvorming. Bepaal vervolgens de ernst en waarschijnlijkheid van deze risico's.

Stap 4. Bepaal passende maatregelen

Stel technische en organisatorische maatregelen vast om de risico's te beperken. Denk aan toegangsbeveiliging, pseudonimisering, aangepaste procedures en duidelijke verantwoordelijkheden.

Stap 5. Beoordeel de restrisico's en leg de resultaten vast

Documenteer de uitkomsten, gemaakte afwegingen en benodigde vervolgstappen. Blijft ondanks de maatregelen een hoog risico bestaan, dan moet de verwerkingsverantwoordelijke de Autoriteit Persoonsgegevens vooraf raadplegen voordat de verwerking begint.

De uitkomsten van een DPIA moeten bovendien worden vertaald naar concrete maatregelen die daadwerkelijk worden geïmplementeerd.

Ondersteuning nodig bij het uitvoeren van een DPIA? Met DPIA-as-a-Service ondersteunt DPO Consultancy organisaties bij het identificeren, beoordelen en beheersen van privacyrisico's.

Wie is verantwoordelijk voor het uitvoeren van een DPIA?

De verantwoordelijkheid voor een DPIA ligt bij de verwerkingsverantwoordelijke: de organisatie die het doel en de middelen van de verwerking bepaalt.

In de praktijk werken privacyprofessionals, IT-specialisten, proceseigenaren en juridische adviseurs vaak samen aan de beoordeling.

Heeft de organisatie een Functionaris Gegevensbescherming (FG) aangesteld? Dan moet deze om advies worden gevraagd bij de uitvoering van de DPIA. De FG houdt daarnaast toezicht op de uitvoering ervan.

Een DPIA mag ook worden uitbesteed aan externe privacyexperts. De eindverantwoordelijkheid blijft echter bij de verwerkingsverantwoordelijke.

Hoe vaak moet een DPIA worden uitgevoerd?

Een DPIA moet worden uitgevoerd voordat een verwerking met een waarschijnlijk hoog privacyrisico begint. Maar daarmee is de beoordeling niet definitief afgerond.

Wanneer bijvoorbeeld een nieuw systeem wordt geïntroduceerd, het doel van de verwerking verandert of aanvullende persoonsgegevens worden verzameld, kan een herbeoordeling noodzakelijk zijn.

De AVG schrijft geen vaste geldigheidsduur voor DPIA's voor. Wel moeten organisaties hun DPIA opnieuw beoordelen wanneer de risico's veranderen. De Autoriteit Persoonsgegevens adviseert daarnaast periodieke evaluatie, bijvoorbeeld eens per drie jaar.

DPIA uitvoeren met ondersteuning van DPO Consultancy

Een DPIA vraagt om juridische kennis, inzicht in gegevensverwerkingen en ervaring met het beoordelen van privacyrisico's. Zeker wanneer meerdere afdelingen, systemen of externe partijen betrokken zijn, kan de uitvoering complex zijn.

DPO Consultancy ondersteunt organisaties bij het uitvoeren, beoordelen en actualiseren van DPIA's. Daarbij richten we ons niet alleen op het identificeren van risico's, maar vooral op het vertalen van de uitkomsten naar concrete, uitvoerbare maatregelen.

Of het nu gaat om een nieuwe verwerking, een bestaande DPIA die moet worden geactualiseerd of een achterstand in beoordelingen: met onze dienstverlening helpen we organisaties om structureel grip te krijgen op privacyrisico's.

Meer weten? Ontdek hoe DPO Consultancy voor jouw organisatie een DPIA kan uitvoeren, van risicoanalyse tot implementatie en borging.

‍