Data Protection Impact Assessment (DPIA)

• Breng privacyrisico's van gegevensverwerkingen in kaart met een Data Protection Impact Assessment (DPIA).
• Ontdek wanneer een DPIA verplicht is volgens de AVG en welke maatregelen nodig zijn om risico's te beperken.
• Stel eenvoudig een DPIA op voor onder andere cameratoezicht, profiling, AI-toepassingen en andere verwerkingen met een verhoogd privacyrisico.

Wat is data protection impact assessment (DPIA)?

Een data protection impact assessment (DPIA) maakt duidelijk of en waar grote privacyrisico's ontstaan als je persoonsgegevens gebruikt. Een DPIA laat ook zien welke maatregelen je moet nemen om de risico's te voorkomen of te verkleinen.

Waarom een risicoanalyse DPIA?

Wil je een risicovolle verwerking van persoonsgegevens uitvoeren? De Algemene verordening gegevensbescherming (AVG) stelt dan het uitvoeren van een DPIA verplicht. Start je een nieuw project of een bedrijfsactiviteit waarin persoonsgegevens worden verzameld of gebruikt? Dan moet je een analyse maken van de privacyrisico's die dit met zich meebrengt.

Wie moet de DPIA uitvoeren?

Als verwerkingsverantwoordelijke moet je ervoor zorgen dat er een DPIA wordt uitgevoerd. Je hoeft de DPIA niet zelf uit te voeren. Dat kan ook iemand anders binnen of buiten jouw organisatie doen.

Wanneer moet je een DPIA uitvoeren?

• Als je systematisch en uitgebreid persoonlijke aspecten van mensen beoordeelt. Dit doe je op basis van geautomatiseerde verwerking van persoonsgegevens, waaronder profiling. En hierop baseer je besluiten die gevolgen hebben voor mensen. Bijvoorbeeld dat zij geen lening kunnen afsluiten. Een voorbeeld hiervan is creditscoring.
• Als je op grote schaal bijzondere persoonsgegevens verwerkt.
• Als je strafrechtelijke gegevens verwerkt.
• Als je op grote schaal en systematisch mensen volgt in een publieke ruimte zoals een winkel. Bijvoorbeeld met cameratoezicht. Zie ook reglement cameratoezicht.

Wanneer heb je geen DPIA nodig?

Een DPIA is niet altijd verplicht. Verwerk je persoonsgegevens met een laag privacyrisico, zoals voor een eenvoudige klantenadministratie, contactformulier of nieuwsbrief? Dan is een DPIA meestal niet nodig. Ook wanneer je geen gevoelige persoonsgegevens verwerkt, mensen niet structureel monitort en geen grootschalige analyses uitvoert, is een DPIA vaak niet vereist. Twijfel je? Beoordeel dan vooraf de privacyrisico's, zodat je zeker weet dat je voldoet aan de AVG.

Veelgestelde vragen over een DPIA

Wat is een DPIA?

Een Data Protection Impact Assessment (DPIA) is een risicoanalyse waarmee je vooraf onderzoekt welke privacyrisico's een verwerking van persoonsgegevens met zich meebrengt. Je brengt risico's in kaart en bepaalt welke maatregelen nodig zijn om deze te beperken.

Wanneer is een DPIA verplicht?

Een DPIA is verplicht wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. Dit kan bijvoorbeeld het geval zijn bij profiling, grootschalige verwerking van persoonsgegevens, cameratoezicht of het verwerken van bijzondere persoonsgegevens.

Wie moet een DPIA uitvoeren?

De verwerkingsverantwoordelijke is verantwoordelijk voor het uitvoeren van een DPIA. In de praktijk zijn hierbij vaak privacy officers, juristen, functionarissen gegevensbescherming (FG's), compliance-specialisten en projectleiders betrokken.

Wat is het verschil tussen een DPIA en een risicoanalyse?

Een DPIA is een specifieke privacyrisicoanalyse die is gericht op de verwerking van persoonsgegevens. Een algemene risicoanalyse kijkt vaak breder naar operationele, financiële of IT-risico's binnen een organisatie.

Welke persoonsgegevens vereisen een DPIA?

Een DPIA kan nodig zijn bij verwerking van:

• Medische gegevens
• Biometrische gegevens
• Strafrechtelijke gegevens
• Financiële gegevens
• Locatiegegevens
• Grote hoeveelheden klant- of medewerkersgegevens

Wanneer hoef je geen DPIA uit te voeren?

Een DPIA is meestal niet nodig wanneer de verwerking van persoonsgegevens een laag privacyrisico heeft. Bijvoorbeeld bij een eenvoudige contactpagina of een beperkte administratie zonder gevoelige persoonsgegevens.

Wat levert een DPIA op?

Een DPIA levert inzicht op in:

• Privacyrisico's
• Mogelijke gevolgen voor betrokkenen
• Benodigde beveiligingsmaatregelen
• Juridische aandachtspunten
• Adviezen om aan de AVG te voldoen

Wat gebeurt er als je geen DPIA uitvoert terwijl dit wel verplicht is?

Als een DPIA verplicht is maar niet wordt uitgevoerd, kan dit leiden tot overtreding van de AVG. Toezichthouders kunnen handhavend optreden en organisaties lopen een groter risico op privacyincidenten en aansprakelijkheid.

Hoe vaak moet een DPIA worden bijgewerkt?

Een DPIA moet worden herzien wanneer een verwerking wijzigt of wanneer nieuwe risico's ontstaan. Het is verstandig om periodiek te controleren of de analyse nog actueel is.

Is een DPIA verplicht voor AI-toepassingen?

Dat hangt af van de toepassing. Wanneer AI wordt gebruikt voor geautomatiseerde besluitvorming, profiling of grootschalige verwerking van persoonsgegevens, kan een DPIA verplicht zijn.

Is een DPIA verplicht voor cameratoezicht?

In veel gevallen wel. Vooral wanneer mensen structureel worden gevolgd of wanneer het cameratoezicht op grote schaal plaatsvindt, is een DPIA vaak verplicht.

Is een DPIA verplicht voor een nieuw CRM-systeem?

Dat kan. Wanneer veel persoonsgegevens worden verwerkt, gekoppeld of geanalyseerd, is het verstandig om te beoordelen of een DPIA nodig is.

Hoe lang duurt het opstellen van een DPIA?

De benodigde tijd hangt af van de complexiteit van de verwerking. Voor eenvoudige verwerkingen kan een DPIA relatief snel worden opgesteld. Complexe projecten vragen meer onderzoek en afstemming. Welke informatie heb je nodig voor een DPIA?

Voor een DPIA heb je meestal informatie nodig over:

• Het doel van de verwerking
• Welke persoonsgegevens worden verwerkt
• Wie toegang heeft tot de gegevens
• Welke systemen worden gebruikt
• Welke beveiligingsmaatregelen zijn getroffen

Accepteert de Autoriteit Persoonsgegevens een DPIA-document als bewijs?

Een goed uitgevoerde en gedocumenteerde DPIA laat zien dat een organisatie privacyrisico's zorgvuldig heeft beoordeeld. De Autoriteit Persoonsgegevens kan een DPIA opvragen als onderdeel van toezicht of onderzoek.