DPIA: wanneer is een pri­va­cy­toets verplicht?

Wat is een DPIA?

Een DPIA is een instrument om vooraf de pri­va­cy­ri­sico’s van een ge­ge­vens­ver­wer­king in kaart te brengen, zodat u maatregelen kunt nemen om ze te verkleinen. De AVG noemt het een gegevens­be­scher­mings­ef­fect­be­oor­de­ling (artikel 35). Eén DPIA kan meerdere ver­ge­lijk­bare ver­wer­kin­gen met ver­ge­lijk­bare risico’s dekken.

Wanneer is een DPIA verplicht?

Een DPIA is verplicht als een verwerking waar­schijn­lijk een hoog risico geeft voor de rechten en vrijheden van mensen, zeker als u nieuwe technologie gebruikt. Er zijn drie manieren om dat te bepalen.

1. De AVG zelf. Een DPIA is in ieder geval nodig als u (artikel 35 lid 3 AVG):

• mensen sys­te­ma­tisch en uitgebreid beoordeelt met ge­au­to­ma­ti­seerde verwerking of profilering, en daarop besluiten baseert met grote gevolgen, zoals bij cre­dits­co­ring;
• op grote schaal gevoelige gegevens verwerkt, zoals over gezondheid, of straf­rechtelijke gegevens;
• op grote schaal en sys­te­ma­tisch een openbare ruimte in de gaten houdt, bij­voor­beeld met camera’s.

2. De lijst van de Autoriteit Per­soons­ge­ge­vens. De AP heeft een lijst ge­pu­bli­ceerd van soorten ver­wer­kin­gen waarvoor een DPIA verplicht is. Die lijst is niet uitputtend.

3. De 9 criteria van de Europese toe­zicht­hou­ders. Staat uw verwerking niet op de lijst, gebruik dan deze criteria. Als vuistregel geldt: voldoet de verwerking aan 2 of meer criteria, dan voert u een DPIA uit.

De 9 criteria voor een DPIA

Criterium	Voorbeeld
1. Mensen beoordelen op per­soons­ken­mer­ken	Profilering, zoals de kre­diet­waar­dig­heid van klanten bepalen
2. Ge­au­to­ma­ti­seerde besluiten	Een systeem dat zonder mens beslist en mensen kan uitsluiten
3. Stel­sel­ma­tige en groot­scha­lige monitoring	Ca­me­ra­toe­zicht in een openbaar toe­gan­ke­lijke ruimte
4. Gevoelige gegevens	Gezondheids­gegevens of straf­rechtelijke gegevens
5. Groot­scha­lige verwerking	Gegevens van zeer veel mensen
6. Gekoppelde databases	Gegevens uit ver­schil­lende bronnen combineren
7. Kwetsbare personen	Kinderen, werknemers, patiënten
8. Nieuwe technologie	Bij­voor­beeld ge­zichts­her­ken­ning
9. Blokkering van een recht, dienst of contract	Iemand krijgt door de verwerking geen lening of dienst

Voldoet uw verwerking aan geen of maar één criterium, dan moet u volgens de AP nog steeds kunnen onderbouwen waarom u geen DPIA uitvoert. Dat hoort bij uw ver­ant­woor­dings­plicht.

Elke zaak is anders

De voorbeelden, uitspraken en uitkomsten van rekenhulpen op deze site laten zien hoe de regels in andere situaties werken. Ze zeggen niet wat de uitkomst in uw zaak wordt: die hangt af van uw eigen afspraken, bewijs en om­stan­dig­he­den. Twijfelt u? Lees waar u gratis of betaalbare juridische hulp vindt.

Wat staat er in een DPIA?

De AVG schrijft vier onderdelen voor (artikel 35 lid 7):

De vier onderdelen van een DPIA

1. Be­schrij­ving
2. Noodzaak
3. Risico's
4. Maatregelen

1. Stap 1Een sys­te­ma­ti­sche be­schrij­ving van de verwerking en het doelWelke gegevens, van wie, waarvoor, en zo nodig het ge­recht­vaar­digde belang.
2. Stap 2Een beoordeling van de noodzaak en de even­re­dig­heidIs de verwerking nodig voor het doel, en kan het met minder gegevens?
3. Stap 3Een beoordeling van de risico's voor de betrokkenenWat kan er misgaan, hoe waar­schijn­lijk is dat en hoe ernstig zijn de gevolgen?
4. Stap 4De maatregelen om de risico's aan te pakkenBij­voor­beeld beveiliging, ver­sleu­te­ling, minder gegevens of kortere bewaar­termijnen.

Heeft uw organisatie een func­ti­ona­ris gegevens­bescherming, dan vraagt u die om advies (artikel 35 lid 2 AVG). Volgens de AP neemt u dat advies op in het verslag van de DPIA. Een DPIA is geen eenmalige klus: verandert de verwerking, dan past u de DPIA aan.

Na de DPIA: de AP raadplegen?

Blijkt uit de DPIA dat de verwerking een hoog risico zou geven als u geen maatregelen neemt, en kunt u dat risico niet genoeg verkleinen, dan raadpleegt u de Autoriteit Per­soons­ge­ge­vens voordat u begint (artikel 36 AVG). Dat heet een voor­af­gaande raadpleging.

Gebruikt u een AI-systeem met een hoog risico, dan gelden daarnaast de regels van de AI-verordening. Lees de AI Act.

Wie kan u helpen?

Begin hier

Uw func­ti­ona­ris gegevens­bescherming

Uw organisatie heeft een FG en u begint met een nieuwe verwerking.

Binnen uw organisatie

Autoriteit Per­soons­ge­ge­vens

Na de DPIA blijft een hoog risico over.

Volgens de regels van de AP

Specialist privacy­recht

U wilt een DPIA laten opstellen of laten beoordelen.

Afhankelijk van de opdracht · Binnenkort via Legal Holding