DPIA voorbeeld: drie ingevulde voorbeelden uit de praktijk
Een DPIA voorbeeld is geen formulier dat je kunt overtypen. Het is een uitgewerkte versie van vier vaste onderdelen: beschrijving, noodzaak, risico's en maatregelen. Hieronder staan drie korte ingevulde voorbeelden uit verschillende sectoren, plus één volledig uitgewerkte risicoregel en de gratis Nederlandse modellen die je als basis mag gebruiken. Twijfel je nog over de basis? Lees dan eerst wat een DPIA is.
Wat staat er in elk DPIA voorbeeld?
Hoe verschillend de voorbeelden ook zijn, de ruggengraat is altijd dezelfde. Artikel 35 lid 7 AVG schrijft vier onderdelen voor. Zie je een voorbeeld waarin er één ontbreekt, dan is dat voorbeeld onvolledig, hoe mooi het er verder ook uitziet.
- Systematische beschrijving: wat verwerk je precies, van wie, met welk doel en op welke grondslag?
- Noodzaak en evenredigheid: is deze verwerking nodig voor dat doel, en kan het niet met minder gegevens?
- Risico's voor betrokkenen: wat kan er misgaan voor de mensen om wie het gaat, niet voor jouw organisatie?
- Beoogde maatregelen: wat doe je om die risico's te verkleinen, en wat blijft er daarna over?
Die volgorde is geen toeval. Elk onderdeel bouwt op het vorige voort: zonder scherpe beschrijving kun je de noodzaak niet beoordelen, en zonder risico's hangen je maatregelen in de lucht.
Hoe ziet een ingevuld DPIA voorbeeld eruit?
Drie situaties uit verschillende sectoren, alle drie kort ingevuld langs die vier onderdelen. Alle drie vallen ze onder een categorie van de AP-lijst met verplichte DPIA's. Herken je jouw eigen situatie niet meteen? Loop dan eerst na wanneer een DPIA verplicht is.
Voorbeeld 1: woningcorporatie met een zwarte lijst van huurders
- Beschrijving: naam, adres, huurhistorie en incidentmeldingen van huurders die overlast veroorzaakten, gedeeld met vijf collega-corporaties in dezelfde regio. Doel: voorkomen dat dezelfde overlast zich verplaatst.
- Noodzaak: de corporatie kan overlast ook per geval afhandelen zonder centrale lijst. De lijst is alleen verdedigbaar voor zware, herhaalde gevallen, met een vaste bewaartermijn en een menselijke toets voor elke plaatsing.
- Risico's: iemand komt op de lijst na één betwiste melding en vindt jarenlang in de hele regio geen woning meer. Een onjuiste vermelding is voor de betrokkene nauwelijks te corrigeren.
- Maatregelen: plaatsing alleen na een besluit van twee medewerkers, betrokkene wordt vooraf geïnformeerd en kan bezwaar maken, automatische verwijdering na de vastgestelde termijn, en een logboek van elke raadpleging.
Voorbeeld 2: school met automatische risicosignalering in het leerlingvolgsysteem
- Beschrijving: cijfers, verzuim, gedragsnotities en thuissituatie van leerlingen, door het systeem omgezet in een signaal "verhoogd risico op uitval" dat mentoren te zien krijgen.
- Noodzaak: vroeg signaleren dient een echt doel, maar de thuissituatie draagt weinig bij aan de voorspelling en raakt wel de gevoeligste gegevens. Die kolom kan eruit.
- Risico's: leerlingen zijn kinderen en dus extra kwetsbaar. Een verkeerd signaal kleurt hoe docenten jarenlang naar een leerling kijken, en dat effect is met een correctie in het systeem niet ongedaan gemaakt.
- Maatregelen: het signaal is nooit leidend zonder gesprek met de mentor, ouders krijgen uitleg over de werking, de gebruikte kenmerken worden jaarlijks getoetst op scheefgroei, en signalen verdwijnen aan het eind van het schooljaar.
Voorbeeld 3: fysiotherapiepraktijk die overstapt op een patiëntenportaal
- Beschrijving: behandeldossiers, verwijsbrieven en afspraken van circa 4.000 patiënten, online inzichtelijk via een portaal van een externe leverancier.
- Noodzaak: een portaal bespaart telefoontjes en geeft patiënten inzage in hun eigen dossier, wat de AVG toch al vereist. De praktijk hoeft daarvoor geen volledige behandelhistorie te ontsluiten; de laatste twee jaar volstaat.
- Risico's: gezondheidsgegevens zijn bijzondere persoonsgegevens. Een zwak wachtwoord of een lek bij de leverancier legt medische informatie bloot die je nooit meer terughaalt.
- Maatregelen: tweefactorauthenticatie voor patiënten, versleutelde opslag, een verwerkersovereenkomst met afspraken over lekmelding binnen 24 uur, en jaarlijkse controle van de autorisaties van medewerkers.
Hoe vul je de risico's in een DPIA voorbeeld in?
Dit is het onderdeel waar de meeste voorbeelden vaag worden. Ze noemen "hoog" of "laag" en gaan door. Een bruikbare risicoregel loopt van links naar rechts en eindigt lager dan hij begint. Neem het patiëntenportaal uit voorbeeld 3:
- Risico: onbevoegde toegang tot medische dossiers via gestolen inloggegevens van een patiënt.
- Kans: reëel. Hergebruikte wachtwoorden zijn de normaalste zaak van de wereld.
- Impact voor de betrokkene: zeer hoog. Medische informatie op straat is onomkeerbaar en kan werk en verzekering raken.
- Maatregel: tweefactorauthenticatie verplicht, sessies die na 15 minuten verlopen, en een melding aan de patiënt bij elke nieuwe login.
- Restrisico: beperkt. Niet nul, maar laag genoeg om de verwerking te kunnen starten.
Die laatste regel is juridisch de belangrijkste. Blijft het restrisico hoog, dan mag je niet gewoon beginnen: dan volgt een voorafgaande raadpleging bij de Autoriteit Persoonsgegevens op grond van artikel 36 AVG. Een voorbeeld dat het restrisico weglaat, slaat precies de conclusie over waar het om draait.
Welk Nederlands DPIA-model kun je als voorbeeld gebruiken?
De AVG schrijft geen vast model voor. Er zijn wel gratis Nederlandse modellen die als voorbeeld goed werken, en het scheelt tijd om er één te kiezen in plaats van zelf een structuur te verzinnen.
- Model DPIA Rijksdienst (versie 3.0, september 2023): het meest uitgewerkte Nederlandse model, opgebouwd uit zeventien punten met per punt aandachtspunten en hulpvragen. Er hoort een apart rapportagemodel bij om de uitkomsten in vast te leggen. Bedoeld voor de Rijksdienst, maar bruikbaar voor iedereen.
- Het EDPB-template: Europees geharmoniseerd en korter van opzet. Handig als je in meerdere landen werkt. We bespraken het apart in het nieuwe EDPB DPIA-template.
- Sectormodellen: voor onderwijs, zorg en gemeenten circuleren ingevulde voorbeeld-DPIA's. Die zijn het nuttigst als jouw verwerking sterk lijkt op de verwerking in dat document.
Wat gaat er mis als je een voorbeeld klakkeloos overneemt?
Een voorbeeld geeft je de vorm, niet het antwoord. De toezichthouder beoordeelt jouw analyse, niet die van de organisatie waarvan je het document leende. Vier dingen gaan daarbij het vaakst mis.
- De beschrijving blijft staan zoals in het voorbeeld, terwijl jouw doelen en gegevens net anders zijn. Daarmee klopt alles wat erna komt ook niet.
- De risico's worden vanuit de organisatie beschreven (imagoschade, boetes) in plaats van vanuit de betrokkene, wat de AVG juist vraagt.
- De maatregelen zijn algemeen ("we versleutelen") en niet gekoppeld aan een specifiek risico uit je eigen lijst.
- Het advies van de functionaris gegevensbescherming ontbreekt, terwijl artikel 35 lid 2 AVG voorschrijft dat je dat vraagt als je er één hebt.
Wil je het in de juiste volgorde aanpakken in plaats van achteraf repareren? Volg dan ons DPIA-stappenplan.
Kort samengevat: gebruik een DPIA voorbeeld voor de structuur en de vraagstelling, en vul de vier onderdelen daarna met je eigen verwerking. Let vooral op de risicoregel: die moet eindigen bij een expliciet restrisico, want dat bepaalt of je mag starten of eerst naar de Autoriteit Persoonsgegevens moet.
Bronnen: Besluit lijst verwerkingen waarvoor een DPIA verplicht is (AP, 19 november 2019) en Model DPIA Rijksdienst v3.0
Volgend in deze reeks: DPIA-boete van €220.000: wat ging er mis?