Wat is een DPIA?
Korte samenvatting
een DPIA is een proces, gestructureerd als instrument, waarmee een organisatie vooraf onderzoekt welke gevolgen een gegevensverwerking heeft voor de betrokkenen en welke maatregelen nodig zijn om privacyrisico’s te beperken.
Uitleg in gewone taal
Een Data Protection Impact Assessment (DPIA), in het Nederlands ook wel een gegevensbeschermingseffectbeoordeling (GEB) genoemd, is een instrument waarmee een organisatie vooraf kijkt welke risico’s er zijn bij het gebruik van persoonsgegevens. Hierbij wordt eerst gekeken welke persoonsgegevens worden verwerkt en met welk doel, vervolgens welke risico’s deze verwerking met zich meebrengt, en tot slot welke maatregelen kunnen worden genomen om deze risico’s te voorkomen.
De belangrijkste wettelijke basis voor een DPIA is artikel 35 van de AVG. Een DPIA is verplicht wanneer een verwerking van data waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van een persoon.
Een goede DPIA bestaat uit vier onderdelen:
- Beschrijving van de verwerking: welke gegevens worden verwerkt, met welk doel en hoe verlopen de gegevensstromen?
- Noodzakelijkheid en proportionaliteit: is de verwerking noodzakelijk en proportioneel en zijn minder ingrijpende alternatieven overwogen?
- Risicoanalyse: welke risico’s bestaan er? Bijvoorbeeld discriminatie, verlies van vertrouwelijkheid of identiteitsdiefstal.
- Maatregelen: welke maatregelen kunnen de risico’s verminderen? Voorbeelden zijn encryptie of beperkte bewaartermijnen.
Een DPIA zorgt ervoor dat privacyrisico’s niet pas achteraf worden aangepakt, maar al voorafgaand aan de verwerking worden onderzocht. Hierdoor kan de organisatie aantonen dat zij bewust omgaat met persoonsgegevens en passende maatregelen neemt.
Wanneer geldt de DPIA voor mijn organisatie
Niet iedere verwerking van persoonsgegevens vereist een DPIA. Een organisatie moet zelf beoordelen of een verwerking waarschijnlijk een hoog risico voor de privacy en rechten van personen oplevert.
Om te bepalen of een DPIA nodig is, kan een organisatie gebruikmaken van verschillende richtlijnen. Hierbij kan worden gekeken naar:
- De AVG
- De Autoriteit Persoonsgegevens (AP): een lijst met verwerkingen waarvoor een DPIA verplicht is.
- De 9 criteria van de Europese privacytoezichthouders: deze helpen om te beoordelen of een verwerking mogelijk een hoog privacyrisico oplevert.
Volgens de AVG is een DPIA in ieder geval verplicht wanneer een organisatie:
- Personen systematisch en uitgebreid beoordeeld en hieraan beslissingen worden verbonden die grote gevolgen voor personen kunnen hebben
- Bijzondere persoonsgegevens op grote schaal verwerkt – zoals gegevens over gezondheid of gegevens over iemands ras
- Persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt.
- Personen systematisch en op grote schaal volgt in een openbaar toegankelijke ruimte – bijvoorbeeld door middel van cameratoezicht.
Waarom is dit belangrijk voor uw organisatie?
Een DPIA is belangrijk omdat het een organisatie helpt om privacyrisico’s op tijd te herkennen en te beperken. Het uitvoeren van een DPIA is niet alleen een manier om aan de wet te voldoen, maar helpt ook om zorgvuldig en verantwoord met persoonsgegevens om te gaan.
Wanneer een DPIA verplicht is, maar niet wordt uitgevoerd, kan dit worden gezien als een overtreding van de AVG. Dit kan leiden tot maatregelen, zoals een boete of zelfs een verbod op bepaalde gegevensverwerkingen.
Een DPIA heeft daarnaast voordelen voor de organisatie zelf. Door vooraf na te denken over de mogelijke privacyrisico’s, kan de organisatie problemen voorkomen. Dit kan helpen om vertrouwen van klanten en andere betrokkenen te behouden en reputatieschade te voorkomen.
Voorbeeld uit de praktijk
Een organisatie wil camera’s plaatsen in en rondom het gebouw om de veiligheid te verbeteren. Met de camera’s worden beelden van medewerkers, bezoekers en andere personen opgenomen.
Voordat de organisatie de camera’s gaat gebruiken, moet zij nagaan welke gevolgen dit kan hebben voor de privacy van deze personen. Omdat mensen op een openbare plek systematisch worden gevolgd, is een DPIA verplicht. In de DPIA onderzoekt de organisatie bijvoorbeeld: Welke risico’s zijn er? En Welke maatregelen kunnen worden genomen om de risico’s te verminderen?
Op deze manier zorgt de DPIA ervoor dat de organisatie niet alleen kijkt naar wat zij met de camera’s wil bereiken, maar ook naar de privacy van de mensen die door de camera’s worden gefilmd.
Wat kunt u als organisatie doen?
Bij het uitvoeren van een DPIA zijn er een aantal dingen waar u als organisatie goed op moet letten:
- Gebruik geen DPIA als standaardformulier. Het is belangrijk om te kijken naar specifieke risico’s
- Voer de DPIA op tijd in, nog voordat de gegevensverwerking begint.
- Controleer de DPIA regelmatig. Een DPIA moet bijvoorbeeld opnieuw worden bekeken wanneer:Het doel van de gegevensverwerking verandert.
- Nieuwe soorten persoonsgegevens worden verzameld.
- Nieuwe technologieën worden gebruikt.
- Een datalek of ander beveiligingsincident heeft plaatsgevonden.
Gerelateerde onderwerpen
Hulp nodig?
Wilt u weten hoe uw organisatie ervoor staat? Neem contact op voor een vrijblijvend adviesgesprek.