DPIA

DPIA in het kort

Een Data Protection Impact Assessment (DPIA) wordt ook wel een gegevensbeschermingseffectbeoordeling (GEB) genoemd. Wanneer een organisatie persoonsgegevens gaat verwerken en zij beoordelen dat hierbij een hoog privacy risico ontstaat, moet een DPIA worden uitgevoerd. De DPIA is een instrument waarbij de organisatie inzicht verkrijgt in de privacy risico’s die een gegevensverwerking met zich mee brengt. De DPIA wordt dus uitgevoerd, voordat de gegevensverwerking plaatsvindt. Uit de DPIA volgen de maatregelen die een organisatie moet treffen om de ingeschatte risico’s te verkleinen. Het uitvoeren van DPIA’s valt onder de verantwoordingsplicht.

Wanneer een DPIA uitvoeren?

Een organisatie moet zelf de inschatting maken óf een DPIA uitgevoerd moet worden. Hierin is leidend of er een hoog privacyrisico ontstaat bij de gegevensverwerking. De Europese privacytoezichthouders hebben een handreiking opgesteld voor de gevallen waarin in ieder geval een DPIA uitgevoerd moet worden.

Uitgangspunt hierbij is dat een DPIA moet worden uitgevoerd als de verwerking aan 2 of meer van de onderstaande criteria voldoet:

1. Beoordelen van mensen op basis van persoonskenmerken
2. Geautomatiseerde besluiten
3. Stelselmatige en grootschalige monitoring
4. Gevoelige gegevens (bijvoorbeeld bijzondere persoonsgegevens, zoals strafrechtelijke gegevens)
5. Grootschalige gegevensverwerkingen
6. Gekoppelde databases
7. Gegevens over kwetsbare personen
8. Gebruik van nieuwe technologieën
9. Blokkering van een recht, dienst of contract

De DPIA moet worden uitgevoerd vóór de gegevensverwerking en is een belangrijk onderdeel van de verantwoordingsplicht van organisaties in het kader van de gegevensbescherming. Het helpt organisaties aan te tonen dat ze de nodige stappen hebben ondernomen om de privacy van de betrokkenen te beschermen.

DPIA in de ontwerpfase

De AVG gaat uit van het privacy by design en privacy by default principe. Om aan deze principes te voldoen, is het van belang dat een DPIA al in de ontwerpfase van de gegevensverwerking wordt uitgevoerd. Zo voorkomt de organisatie dat er onrechtmatig te grote privacy risico’s worden genomen. Het uitvoeren van een DPIA is geen eenmalige taak, maar een continu proces. Verandert er iets in het proces van gegevensverwerking, moet er een nieuwe DPIA uitgevoerd worden. Als de organisatie een Functionaris Gegevensbescherming (FG) heeft aangesteld, is het verplicht om bij deze advies in te winnen met betrekking tot de DPIA. De FG houdt intern toezicht op de gegevensverwerkingen en naleving van de AVG.

Aandachtspunten bij het uitvoeren van een DPIA

Het uitvoeren van een DPIA is een belangrijk proces dat zorgvuldig moet worden aangepakt. Een van de meest cruciale aspecten is de timing. Begin altijd met de DPIA voordat je start met de gegevensverwerking. Dit is niet alleen een wettelijke verplichting, maar geeft je ook de mogelijkheid om privacy direct vanaf het begin goed te regelen.

Ook is het essentieel om de juiste mensen bij het proces te betrekken. Een DPIA is geen individuele taak, maar een teamproject. Betrek experts uit verschillende disciplines zoals IT, beveiliging en juridische zaken. Vergeet ook niet de Functionaris Gegevensbescherming te consulteren - zijn/haar expertise en onafhankelijke blik zijn waardevol voor een goede beoordeling. Als het mogelijk is, is het ook zinvol om input te vragen van de mensen wiens gegevens je gaat verwerken. Zij kunnen vaak praktische inzichten bieden die je anders over het hoofd zou zien. Documentatie is een ander cruciaal aspect van de DPIA. Leg alle stappen en overwegingen zorgvuldig vast. Dit is niet alleen belangrijk voor de verantwoording, maar helpt ook bij:

• Het evalueren en bijstellen van maatregelen
• Het overdragen van kennis binnen de organisatie
• Het aantonen van compliance aan toezichthouders
• Het verbeteren van toekomstige DPIA's

Bij het uitvoeren van de DPIA is het belangrijk om:

• Realistisch te zijn over de risico's - onderschatting kan later problemen opleveren
• Zowel naar technische als organisatorische aspecten te kijken
• Concrete en haalbare maatregelen te bedenken voor gevonden risico's
• Regelmatig te evalueren of de beoordeling nog actueel is

Bedenk ook dat een DPIA geen eenmalige activiteit is. Technologie, processen en risico's veranderen continu. Plan daarom periodieke evaluaties in om te beoordelen of de DPIA nog actueel is en of de genomen maatregelen nog effectief zijn. Stel de DPIA bij als er significante veranderingen zijn in de manier waarop je persoonsgegevens verwerkt.