Data Protection Impact Assessment

DPIA: wanneer is een privacyrisicoanalyse verplicht?

Organisaties verwerken steeds meer persoonsgegevens in systemen, processen en samenwerkingen. Denk aan klantgegevens, personeelsinformatie, gezondheidsgegevens, camerabeelden of gegevens die worden gebruikt voor analyse, monitoring of besluitvorming. Wanneer een verwerking waarschijnlijk een hoog privacyrisico oplevert voor betrokkenen, is het uitvoeren van een Data Protection Impact Assessment (DPIA) verplicht.

Een DPIA helpt om privacyrisico’s vooraf in beeld te brengen, te beoordelen en te beperken voordat een verwerking wordt gestart. Daarmee is een DPIA geen los juridisch document, maar een belangrijk onderdeel van privacy governance, informatiebeveiliging en risicobeheersing. Van Oers helpt organisaties om DPIA’s concreet, zorgvuldig en werkbaar uit te voeren, passend bij de aard van de verwerking en de volwassenheid van de organisatie.

Neem contact op met onze consultants

Wat is een DPIA?

Een DPIA, in het Nederlands ook wel gegevensbeschermingseffectbeoordeling genoemd, is een instrument uit de AVG waarmee organisaties vooraf beoordelen welke risico’s een verwerking van persoonsgegevens kan hebben voor de rechten en vrijheden van betrokkenen. Het gaat daarbij niet alleen om de vraag of gegevens goed beveiligd zijn, maar ook om onderwerpen zoals rechtmatigheid, proportionaliteit, transparantie, dataminimalisatie, bewaartermijnen, toegang tot gegevens en de mogelijkheid voor betrokkenen om hun rechten uit te oefenen.

De uitkomst van een DPIA laat zien of de verwerking op een verantwoorde manier kan worden ingericht en welke aanvullende maatregelen nodig zijn om risico’s te beperken. Voorbeelden van maatregelen zijn het beperken van gegevens, het aanscherpen van autorisaties, het verbeteren van logging, het aanpassen van bewaartermijnen, het verduidelijken van informatie aan betrokkenen of het maken van aanvullende afspraken met leveranciers en samenwerkingspartners.

Wanneer is een DPIA verplicht?

Een DPIA is verplicht wanneer een verwerking waarschijnlijk een hoog privacyrisico oplevert. De AVG noemt situaties waarin dit in ieder geval aan de orde kan zijn, zoals systematische en uitgebreide beoordeling van personen op basis van geautomatiseerde verwerking, grootschalige verwerking van bijzondere persoonsgegevens of strafrechtelijke gegevens en grootschalige systematische monitoring van publiek toegankelijke ruimten, bijvoorbeeld met cameratoezicht.

Daarnaast heeft de Autoriteit Persoonsgegevens een lijst gepubliceerd met verwerkingen waarvoor een DPIA verplicht is. Staat een verwerking niet op deze lijst, dan moet de organisatie zelf beoordelen of sprake is van een hoog risico. Daarbij worden onder meer criteria gebruikt zoals profilering, geautomatiseerde besluitvorming, stelselmatige monitoring, verwerking van gevoelige gegevens, grootschaligheid, het combineren van datasets, gegevens van kwetsbare betrokkenen en het gebruik van nieuwe technologie.

In de praktijk is een DPIA vaak relevant bij de aanschaf of inrichting van nieuwe systemen, het gebruik van cameratoezicht, toepassingen met kunstmatige intelligentie, monitoring van medewerkers, verwerking van gezondheidsgegevens, koppelingen tussen databronnen of nieuwe samenwerkingen waarbij persoonsgegevens worden gedeeld. Bij twijfel is het verstandig om de beoordeling tijdig te doen, zodat privacyrisico’s kunnen worden meegenomen voordat keuzes definitief zijn gemaakt.

DPIA uitvoeren in de praktijk

Een goede DPIA begint met een duidelijke beschrijving van de verwerking. Welke persoonsgegevens worden verwerkt, van wie zijn deze gegevens, met welk doel gebeurt dit, welke systemen en partijen zijn betrokken en op welke grondslag vindt de verwerking plaats? Ook wordt gekeken naar bewaartermijnen, ontvangers, beveiligingsmaatregelen en de manier waarop betrokkenen worden geïnformeerd.

Daarna wordt beoordeeld of de verwerking noodzakelijk en proportioneel is. Kan het doel ook worden bereikt met minder persoonsgegevens, minder toegang, kortere bewaartermijnen of een minder ingrijpende werkwijze? Vervolgens worden de risico’s voor betrokkenen in kaart gebracht. Het gaat bijvoorbeeld om risico’s op verlies van controle over gegevens, ongewenste toegang, onjuiste besluitvorming, discriminatie, uitsluiting, reputatieschade of het niet kunnen uitoefenen van privacyrechten.

Op basis van deze analyse worden passende maatregelen bepaald. Een DPIA is pas waardevol als de uitkomsten ook worden vertaald naar concrete aanpassingen in processen, systemen, beleid of contractuele afspraken. Wanneer na het nemen van maatregelen nog steeds een hoog restrisico overblijft, kan voorafgaand overleg met de Autoriteit Persoonsgegevens nodig zijn.

Samenhang met AVG en informatiebeveiliging

Een DPIA staat niet op zichzelf. De beoordeling hangt nauw samen met het verwerkingsregister, privacybeleid, informatiebeveiligingsbeleid, verwerkersovereenkomsten, datalekprocedure, bewaartermijnen en afspraken over rollen en verantwoordelijkheden. Een DPIA kan daarom ook zichtbaar maken waar bestaande privacy- of beveiligingsmaatregelen nog onvoldoende zijn uitgewerkt.

Door DPIA’s onderdeel te maken van projectmanagement, leveranciersselectie en wijzigingsprocessen wordt privacy eerder in besluitvorming meegenomen. Dat sluit aan bij privacy by design en privacy by default: persoonsgegevens worden niet achteraf beschermd, maar vanaf het ontwerp van een proces of systeem meegenomen.

Onze ondersteuning bij een DPIA

Van Oers begeleidt organisaties bij het bepalen of een DPIA verplicht is en bij het zorgvuldig uitvoeren van de beoordeling. We combineren kennis van de AVG met ervaring op het gebied van informatiebeveiliging en risicomanagement. Daardoor kijken we niet alleen naar de juridische vereisten, maar ook naar de praktische werking binnen de organisatie.

Onze ondersteuning kan bestaan uit het uitvoeren van een DPIA-screening, het begeleiden van interviews en werksessies, het beschrijven van de verwerking, het beoordelen van risico’s, het formuleren van beheersmaatregelen en het opstellen van een helder DPIA-rapport. Ook helpen we bij het vertalen van de uitkomsten naar concrete verbeteracties, zodat de DPIA niet alleen aantoonbaarheid oplevert, maar ook daadwerkelijk bijdraagt aan betere bescherming van persoonsgegevens.