Data Protection Impact Assessment (DPIA)

Wat is een DPIA?

Een DPIA is een manier waarmee uw organisatie, voorafgaand aan een gegevensverwerking, de privacyrisico’s in kaart brengt. Dit doet u door met name de oorsprong, de aard, het specifieke karakter en de ernst van de privacyrisico’s te beoordelen. Indien nodig kunnen vervolgens maatregelen worden getroffen om de privacyrisico’s te verkleinen.

Voor welke gegevensverwerkingen een DPIA uitvoeren?

Niet iedere gegevensverwerking verplicht uw organisatie tot het uitvoeren van een DPIA. Een DPIA is alleen verplicht als een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert voor natuurlijke personen. Dit geldt in het bijzonder voor een gegevensverwerking waarbij met name nieuwe technologieën worden gebruikt.

Een DPIA moet in ieder geval worden uitgevoerd als uw organisatie:

• Systematisch en uitvoerig persoonlijke aspecten beoordeelt.
• Op grote schaal bijzondere persoonsgegevens verwerkt.
• Op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied, bijvoorbeeld door cameratoezicht.

Voorbeelden van dergelijke gegevensverwerkingen zijn:

• Een zorgverlener die patiëntgegevens verwerkt.
• Een marktonderzoeksbureau dat in opdracht locatiegegevens van klanten verwerkt voor statistische doeleinden.
• Een recruitmentbureau dat heel veel cv’s – en dus persoonlijke informatie – verwerkt.

Ook andere gegevensverwerkingen kunnen wegens het hoge privacyrisico in aanmerking komen voor een DPIA. Bij het bepalen of daarvan sprake is, moet worden gekeken naar het aantal betrokkenen, de hoeveelheid gegevens die worden verwerkt, de duur van de gegevensverwerking en de geografische reikwijdte van de verwerking.

De Autoriteit Persoonsgegevens heeft een lijst van soorten verwerkingen opgesteld waarvoor het uitvoeren van een DPIA verplicht is vóórdat u met verwerken begint. De lijst is niet uitputtend. Het kan zijn dat uw verwerking niet op deze lijst staat. In dat geval moet u zelf beoordelen of uw verwerking een hoog privacyrisico oplevert voor de betrokkenen.

Het uitvoeren van een DPIA kan bevorderlijk zijn voor de gegevensbescherming, maar ook voor uw organisatie zelf. Door middel van een DPIA kunnen kostbare aanpassingen in processen, herontwerp van systemen of stopzetten van een project door vroegtijdig inzicht in de belangrijkste privacyrisico’s worden voorkomen. Hiermee geeft een organisatie bovendien invulling aan de op grond van de AVG vereiste principes ‘Privacy by Design’ en ‘Privacy by Default’.

Een DPIA kan daarnaast zorgen voor onder meer verhoging van het privacybewustzijn binnen een organisatie, verbetering van de dienstverlening en besluitvorming, verbetering van de haalbaarheid van een project en versteviging van het vertrouwen van klanten en werknemers in de wijze waarop persoonsgegevens binnen de organisatie worden verwerkt en privacy wordt gerespecteerd.

Hoe een DPIA uitvoeren?

Een organisatie die onder de AVG verplicht is een Functionaris voor de gegevensbescherming (FG) aan te stellen, moet bij de uitvoering van de DPIA advies inwinnen van de FG. Indien een organisatie daarnaast voor de gegevensverwerking gebruik maakt van een verwerker, moet deze verwerker de organisatie bij de uitvoering van de DPIA assisteren door onder meer de nodige informatie te verstrekken over bijvoorbeeld de beveiligingsmaatregelen in de door de organisatie gebruikte systemen en software. Ook kan bij de uitvoering van de DPIA advies van de betrokkenen worden ingewonnen.

Een organisatie kan zelf kiezen hoe een DPIA wordt uitgevoerd, zolang de DPIA in ieder geval het volgende bevat:

• Een systematische beschrijving van de beoogde gegevensverwerkingen en de doeleinden daarvan.
• Een beoordeling van de noodzaak en de proportionaliteit (is de inbreuk op de privacy van de betrokkenen niet onevenredig in verhouding tot het doel?) van de gegevensverwerkingen.
• Een beoordeling van de privacyrisico’s voor de betrokkenen.
• De beoogde maatregelen om [1] de risico’s aan te pakken (zoals waarborgen en veiligheidsmaatregelen) en [2] aan te tonen dat de organisatie aan de AVG voldoet.

Ondersteunt door een AVG compliance tool

Hoe vaak een DPIA uitvoeren?

Raadpleeg de Autoriteit Persoonsgegevens

Als uit een DPIA blijkt dat de gegevensverwerking inderdaad een hoog privacyrisico oplevert als uw organisatie geen maatregelen treft om het privacyrisico te beperken, moet uw organisatie voorafgaand aan de gegevensverwerking de toezichthouder raadplegen. Deze beoordeelt vervolgens of de voorgenomen gegevensverwerking in strijd is met de AVG. Als dat het geval is, zal de AP uw organisatie hierover adviseren.

Moja Rada ondersteunt

Moja Rada ondersteunt u bij het uitvoeren van DPIA’s en helpt u wijzigingsprocessen zodanig aan te passen dat een DPIA een standaard onderdeel wordt.