Data Protection Impact Assessment

Wat is een DPIA?

De privacy van klanten, medewerkers en andere betrokkenen is van groot belang. Organisaties verwerken dagelijks persoonsgegevens, vaak op grote schaal of binnen gevoelige contexten. In dergelijke situaties is het niet alleen verstandig om zorgvuldig met deze gegevens om te gaan, maar ook wettelijk verplicht om de risico’s vooraf te beoordelen. Een Data Protection Impact Assessment (DPIA) biedt hierbij uitkomst: het helpt privacyrisico’s tijdig te signaleren en maakt het mogelijk om passende maatregelen te treffen om deze risico’s te beperken.

Een DPIA is een verplicht instrument binnen de Algemene Verordening Gegevensbescherming (AVG) en is bedoeld om vooraf inzicht te krijgen in de risico’s van een gegevensverwerking. Dit geldt in het bijzonder voor verwerkingen die een hoog risico vormen voor de rechten en vrijheden van betrokkenen, zoals bij profilering, cameratoezicht of het verwerken van medische of andere gevoelige persoonsgegevens. Door een DPIA uit te voeren vóór de start van een dergelijke verwerking, zorgt u ervoor dat de privacyrisico’s op een gestructureerde manier worden beoordeeld en geminimaliseerd. Hiermee voldoet u niet alleen aan de wetgeving, maar draagt u ook actief bij aan het vertrouwen van betrokkenen in uw organisatie.

Neem direct contact op

Wanneer is een DPIA verplicht?

De AVG schrijft voor dat een DPIA verplicht is wanneer een gegevensverwerking waarschijnlijk een hoog privacy risico met zich meebrengt. Dit is in ieder geval het geval als uw organisatie: 

• Systematisch en uitgebreid persoonlijke aspecten van mensen beoordeelt op basis van geautomatiseerde verwerking. Een voorbeeld hiervan is creditscoring waarbij wordt beoordeeld of mensen een lening mogen afsluiten. 
• Op grote schaal bijzondere persoonsgegevens verwerkt. Bij bijzondere persoonsgegevens kan worden gedacht aan etniciteit of politieke voorkeur.
• Strafrechtelijke gegevens verwerkt.
• Op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied. Een veelvoorkomend voorbeeld hiervan is cameratoezicht. 

De Autoriteit Persoonsgegevens (AP) heeft een lijst opgesteld met verwerkingen waarbij een DPIA verplicht is. Wanneer uw verwerking niet op de lijst staat, moet u zelf beoordelen of een DPIA moet worden uitgevoerd. Om deze beoordeling uit te voeren heeft de AP een lijst met negen criteria opgesteld. Als vuistregel geldt dat een DPIA verplicht is wanneer de verwerking aan twee of meer van de criteria voldoet. Bent u benieuwd om welke criteria het gaat? Lees dan het artikel dat wij hierover geschreven hebben. 

De stappen van een DPIA

Een effectieve DPIA bestaat uit een gestructureerde aanpak met de volgende stappen:

1. Bepalen noodzaak DPIA. De eerste stap is om vast te stellen of het verplicht is om een DPIA uit te voeren voor de gegevensverwerking waarmee uw organisatie wil starten. U mag pas starten met een gegevensverwerking, waarvoor een DPIA verplicht is, wanneer de DPIA succesvol is afgerond. 
2. Beschrijving van de gegevensverwerking. Beschrijf duidelijk welke gegevens worden verwerkt, voor welk doel en door wie. Beoordeel daarnaast of uw verwerking rechtmatig is. 
3. Beoordeling van noodzaak en proportionaliteit. Leg uit waarom deze verwerking noodzakelijk is en of het doel ook op een privacy vriendelijkere manier bereikt kan worden.
4. Risicoanalyse. Breng de risico’s op het gebied van privacy van betrokkenen in kaart. Denk aan risico’s op misbruik, verlies of ongewenste toegang.
5. Maatregelen om risico’s te beperken. Beschrijf welke technische en organisatorische maatregelen genomen worden om risico’s te verkleinen en om aan de AVG te voldoen. 

Onze ondersteuning bij een DPIA

Bij Van Oers combineren we juridische kennis van de AVG met technische expertise. Dat betekent dat we niet alleen toetsen of een DPIA nodig is, maar ook begeleiden bij de uitvoering ervan. Denk aan: 

• Risicobeoordeling en analyse; 
• Opstellen van een volledig DPIA-rapport; 
• Advies over technische en organisatorische maatregelen; 
• Begeleiding bij het overleg met de toezichthouder. 

Meer informatie

Wilt u weten wanneer een DPIA moet worden uitgevoerd of bent u benieuwd hoe wij u kunnen ondersteunen bij het uitvoeren van een DPIA? Neem dan contact met ons op.

Neem contact op met onze consultants