Wanneer is een DPIA verplicht?

Een DPIA is verplicht wanneer een verwerking van persoonsgegevens waarschijnlijk een hoog risico oplevert voor de betrokkenen. Je voert de beoordeling uit vóórdat de verwerking begint, niet achteraf.

Dat laatste is meteen de misvatting die ons het vaakst voorbijkomt. Een DPIA is geen formulier dat je invult als het project af is, en dat verschil bepaalt of je er iets aan hebt.

Een onderneming is verplicht een Data Protection Impact Assessment uit te voeren wanneer zij persoonsgegevens gaat verwerken die waarschijnlijk een hoog risico inhouden voor de betrokkenen. Dat kan spelen bij het gebruik van nieuwe technologieën of bij grootschalige verwerking van persoonsgegevens. Het doel is dat je inzichtelijk krijgt welke negatieve gevolgen jouw verwerking kan hebben voor de privacy van de mensen om wie het gaat.

Wanneer is een DPIA in ieder geval verplicht?

Een DPIA is verplicht wanneer sprake is van:

• grootschalige verwerking van bijzondere persoonsgegevens, bijvoorbeeld gezondheidsgegevens of strafrechtelijke gegevens;
• stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten;
• systematische en uitgebreide profilering waarop beslissingen worden gebaseerd die rechtsgevolgen hebben voor personen;
• het gebruik van nieuwe technologieën die waarschijnlijk een hoog privacyrisico inhouden.

Daarnaast houdt de Autoriteit Persoonsgegevens een lijst bij van verwerkingen waarvoor een DPIA hoe dan ook verplicht is. Denk aan cameratoezicht gericht op fraudebestrijding, het systematisch monitoren van werknemers en het op grote schaal verwerken van gegevens over iemands financiële situatie. Die lijst is het eerste wat wij erbij pakken.

En als je zaak er niet op staat?

Dan wordt het een inschatting. De Europese toezichthouders hebben daarvoor negen criteria geformuleerd, waaronder evaluatie of scoring, geautomatiseerde besluitvorming, systematische monitoring en het verwerken van gegevens van kwetsbare personen. Voldoet jouw verwerking aan twee of meer daarvan, dan is een DPIA in beginsel aan de orde.

Kom je tot de conclusie dat het niet hoeft? Leg die afweging dan vast. Dat kost je tien minuten en het hoort bij je verantwoordingsplicht.

Wat moet erin staan?

De DPIA moet in ieder geval bevatten:

• een systematische beschrijving van de gegevensverwerking die je van plan bent uit te voeren en de doeleinden hiervoor;
• een beoordeling van de noodzaak en de proportionaliteit van de verwerking van persoonsgegevens;
• een beoordeling van de privacyrisico’s voor de personen wier persoonsgegevens je wil verwerken;
• de beoogde maatregelen om eventuele risico’s aan te pakken en een beschrijving waarom de verwerking aan de AVG voldoet.

Heb je een functionaris gegevensbescherming, dan vraag je die om advies. Dat advies en wat je ermee hebt gedaan, horen in het document terug te komen.

En als de risico’s te hoog blijven?

Blijkt uit de DPIA dat er een hoog risico overblijft dat je met maatregelen niet kunt wegnemen, dan moet je de Autoriteit Persoonsgegevens raadplegen voordat je met de verwerking start. Die procedure kost weken. Dat is precies het soort ontdekking dat je niet wil doen in de laatste week voor een livegang.

Verandert je verwerking later wezenlijk, bijvoorbeeld doordat je er een AI-component aan toevoegt, dan houd je de DPIA opnieuw tegen het licht. Over die combinatie schreven wij eerder in AI en privacy.

Kortom, een DPIA is vooral een timingkwestie. Op tijd uitgevoerd is het een hulpmiddel waarmee je je ontwerp bijstuurt. Te laat uitgevoerd is het een verantwoording achteraf voor keuzes die je niet meer terugdraait.

Wij beoordelen of een DPIA in jouw geval verplicht is en voeren hem desgewenst uit. Loop je ertegenaan? Neem gerust contact op of lees meer over privacyrecht.