DPIA: wat het is, wanneer verplicht en hoe je 'm uitvoert

DPIA staat voor Data Protection Impact Assessment. In de Nederlandse AVG-tekst heet dit een gegevensbeschermingseffectbeoordeling (GEB). Het is een gestructureerd onderzoek waarmee je vooraf de privacyrisico's van een gegevensverwerking in kaart brengt en maatregelen bepaalt om die risico's te beperken.

Een DPIA is verplicht wanneer een verwerking waarschijnlijk een hoog privacyrisico oplevert voor de betrokkenen (artikel 35 AVG). Denk aan grootschalige verwerking van gezondheidsgegevens, stelselmatige monitoring van openbare ruimten of profilering met rechtsgevolgen. De Autoriteit Persoonsgegevens publiceerde daarnaast een lijst met 17 soorten verwerkingen waarvoor een DPIA altijd verplicht is.

De verwerkingsverantwoordelijke is verantwoordelijk voor de DPIA — de organisatie die doel en middelen van de verwerking bepaalt. In de praktijk voert een projectteam, privacy officer of externe adviseur de DPIA uit. Heb je een functionaris gegevensbescherming (FG), dan ben je verplicht om diens advies te vragen.

Dan overtreed je de AVG. De Autoriteit Persoonsgegevens kan een boete opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Minstens zo belangrijk: zonder DPIA loop je het risico dat je een verwerking start die je later moet stilleggen of terugdraaien.

Dat hangt af van de complexiteit van de verwerking. Een eenvoudige DPIA is in enkele dagdelen klaar; bij complexe systemen met veel partijen kan het weken duren. Plan de DPIA vroeg in je project — vóórdat je de verwerking start, want dat is wettelijk vereist.

Voer je de DPIA intern uit, dan kost het vooral tijd. Besteed je de DPIA uit aan een adviseur, dan liggen de kosten meestal tussen enkele honderden en enkele duizenden euro's, afhankelijk van de omvang van de verwerking en het aantal betrokken systemen.

Een PIA (Privacy Impact Assessment) is de oudere, algemene term voor een privacy-onderzoek. De DPIA is de wettelijk gedefinieerde variant uit de AVG, met verplichte onderdelen zoals een beoordeling van noodzaak en proportionaliteit. In de praktijk worden de termen vaak door elkaar gebruikt.

Nee, standaard niet. Alleen als uit de DPIA blijkt dat er een hoog restrisico overblijft dat je niet kunt beperken, ben je verplicht de Autoriteit Persoonsgegevens te raadplegen vóórdat je met de verwerking start. Dit heet een voorafgaande raadpleging (artikel 36 AVG).

De AVG noemt geen vaste termijn, maar een DPIA is geen eenmalige exercitie. Herzie de DPIA bij elke relevante wijziging van de verwerking en controleer periodiek of de beoordeling nog klopt — veel organisaties hanteren elke drie jaar als vuistregel.

Ja. De verplichting hangt af van het risico van de verwerking, niet van de grootte van je organisatie. Een klein bedrijf dat bijvoorbeeld grootschalig gezondheidsgegevens verwerkt of mensen stelselmatig volgt, moet gewoon een DPIA uitvoeren.

Er is geen verplicht format. De AVG schrijft wel vier verplichte onderdelen voor: een beschrijving van de verwerking, een beoordeling van noodzaak en proportionaliteit, een inschatting van de risico's voor betrokkenen en de beoogde maatregelen. Voor de Rijksoverheid bestaat het Model DPIA Rijksdienst; daarnaast publiceren de Autoriteit Persoonsgegevens en de Franse toezichthouder CNIL bruikbare handreikingen en tools.

Nee. Een DPIA is een intern verantwoordingsdocument. Het kan wel verstandig zijn om een samenvatting te publiceren, bijvoorbeeld om vertrouwen te wekken bij gebruikers — sommige overheidsorganisaties doen dat standaard.