Gegevensbeschermingseffectbeoordeling: is dat hetzelfde als een DPIA?
Het korte antwoord: ja, een gegevensbeschermingseffectbeoordeling is precies hetzelfde als een DPIA. Het is de officiële Nederlandse naam uit de AVG-wettekst voor wat in de praktijk meestal "DPIA" wordt genoemd: dezelfde verplichting, dezelfde vier onderdelen, dezelfde boete als je 'm overslaat terwijl dat moet. Alleen de naam is anders.
Waarom is de officiële naam zo lang?
Gegevensbeschermingseffectbeoordeling is één samengesteld woord uit drie delen: gegevensbescherming (data protection), effect (impact) en beoordeling (assessment). Het is de letterlijke Nederlandse vertaling van data protection impact assessment, net zoals AVG zelf de Nederlandse vertaling is van GDPR. De officiële Nederlandse tekst van artikel 35 van de AVG gebruikt deze term als kopje. DPIA is de Engelse afkorting die in Nederlandse consultancy- en tech-taal de gangbare kortere naam is geworden, gewoon omdat die sneller uitgesproken en getypt is.
Zelfs de Autoriteit Persoonsgegevens gebruikt beide termen door elkaar
Twijfel je of de lange naam nu een apart, formeler traject is? Kijk dan naar hoe de toezichthouder het zelf noemt. De officiële regeling waarin de Autoriteit Persoonsgegevens vastlegt voor welke verwerkingen een beoordeling verplicht is, heet letterlijk: "Besluit lijst verwerkingen persoonsgegevens waarvoor een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is". Beide termen staan naast elkaar, in dezelfde titel, van dezelfde toezichthouder. Duidelijker dan dat wordt het niet.
GEB en DPIA: waar komt de verwarring dan vandaan?
Meestal uit de context waarin je de term tegenkomt. Een gemeente, toezichthouder of aanbestedende partij schrijft in officiële correspondentie eerder "gegevensbeschermingseffectbeoordeling" of de afkorting GEB, omdat dat de term uit de wettekst is. Een IT-leverancier, consultant of privacytool noemt hetzelfde traject bijna altijd DPIA, omdat dat de internationale term is die iedereen kent. Dat is ook precies waarom een PIA er weer anders uitziet: die term bestond al vóór de AVG en was vormvrij, terwijl de DPIA/GEB een wettelijk vastgelegd format met vier verplichte onderdelen kreeg. Het volledige verschil staat uitgewerkt in DPIA versus PIA: wat is het verschil.
Welke term gebruik je zelf het beste?
Voor de uitvoering maakt het niets uit: je doorloopt hetzelfde stappenplan, met dezelfde vier verplichte onderdelen uit artikel 35 lid 7 AVG, en dezelfde boete tot €10 miljoen of 2% van de wereldwijde jaaromzet als je 'm overslaat terwijl dat verplicht is. Voor formele documenten, zoals verwerkersovereenkomsten, convenanten of gemeentelijke aanbestedingen, is de veiligste keuze om beide termen te noemen: "gegevensbeschermingseffectbeoordeling (DPIA)", precies zoals de Autoriteit Persoonsgegevens dat zelf doet. In dagelijks gebruik, e-mails en interne documentatie is DPIA gewoon korter en net zo correct.
Wanneer ben je verplicht er één uit te voeren?
Los van welke naam je gebruikt: een gegevensbeschermingseffectbeoordeling is verplicht zodra een gegevensverwerking waarschijnlijk een hoog risico oplevert voor de mensen om wie het gaat, bijvoorbeeld bij grootschalige verwerking van bijzondere gegevens of systematische profilering. De volledige lijst met alle situaties waarin dat geldt, inclusief de AP-lijst met 17 categorieën, staat uitgewerkt in wanneer een DPIA verplicht is. Twijfel je nog waar je precies moet beginnen? Lees dan eerst wat een DPIA inhoudt en hoe je 'm stap voor stap uitvoert.
Kort samengevat: gegevensbeschermingseffectbeoordeling en DPIA zijn twee namen voor precies hetzelfde AVG-instrument. De lange naam komt uit de wettekst, de afkorting uit de dagelijkse praktijk. Zelfs de Autoriteit Persoonsgegevens gebruikt ze naast elkaar. Gebruik in formele documenten gerust allebei, en voor de rest gewoon welke term je het snelst uitspreekt.