Blog | Data Protection Impact Assessments

Waarom voer je een DPIA uit?

Een Data Protection Impact Assessment (DPIA) is er om vóór een (potentieel) risicovolle verwerking het effect van die beoogde verwerking op de bescherming van persoonsgegevens te beoordelen. Met een DPIA toets je de rechtmatigheid en breng je de risico’s van voorgenomen verwerkingen in kaart, als deze die “waarschijnlijk een hoog risico inhouden voor de rechten en vrijheden van natuurlijke personen”. Ook formuleer je de maatregelen om die risico’s te mitigeren. 

Wanneer is een DPIA verplicht?

De meeste organisaties voeren alleen een DPIA uit wanneer dat verplicht is. Het uitvoeren van een DPIA op een verwerking waarbij er duidelijk geen hoge risico’s zijn, is vaak niet erg zinvol en kan daarom, vanwege de hoeveelheid werk, leiden tot frustratie bij medewerkers. Om te bepalen of een DPIA verplicht is, moet worden beoordeeld of de voorgenomen verwerking waarschijnlijk een hoog risico inhoudt voor betrokkenen. Die beoordeling moet volgens artikel 35 van de Algemene verordening gegevensbescherming (AVG) worden gemaakt op basis van de aard, omvang, context en doeleinden. De AVG noemt drie specifieke soorten verwerkingen die waarschijnlijk een hoog risico voor betrokkenen opleveren, namelijk bij: 

• de systematische en uitgebreide beoordeling van persoonlijke aspecten van personen; . 
• de grootschalige verwerking van bijzondere persoonsgegevens, of;
• de stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.

De AVG bevat ook een aantal uitzonderingen op de DPIA-verplichting, bijvoorbeeld als al een DPIA is uitgevoerd voor een vergelijkbare verwerking. Verder zijn er Europese guidelines met 9 criteria die kunnen worden gebruikt om te beoordelen of er sprake is van een hoog risico voor betrokkenen, namelijk als er sprake is van:

1.  evaluatie of scoretoekenning (bijv. kredietscores of fraudedatabanken);
2.  geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbare gevolgen (bijv. automatische afwijzing van een aanvraag voor een voorziening);
3.  stelselmatige monitoring (bijv. van sociale media of openbare ruimtes);
4.  gevoelige gegevens of gegevens van zeer persoonlijke aard (bijv. medische dossiers of politieke opvattingen);
5.  op grote schaal verwerkte gegevens (bijv. van complete wijken of steden voor een langere tijd);
6.  matching of samenvoeging van datasets (bijv. het vergelijken van lijsten met verdachte voertuigen);
7.  gegevens met betrekking tot kwetsbare betrokkenen (bijv. ouderen, kinderen of asielzoekers);
8.  innovatief gebruik of toepassing van nieuwe technische of organisatorische oplossingen (bijv. het combineren van vingerafdruk met gezichtsscans voor beveiliging);
9.  situaties waar een betrokkene door de verwerking een recht niet uit kan oefenen of geen beroep kan doen op een dienst of overeenkomst (bijv. een kredietcheck voordat een bank bepaalt of je een hypotheek kan krijgen).

De Autoriteit Persoonsgegevens heeft ook een lijst van verwerkingen waarvoor een DPIA altijd verplicht is, bijvoorbeeld bij zwarte lijsten en het verwerken van gezondheidsgegevens. 

Hoe voer je een DPIA uit?

Een DPIA moet de eerdergenoemde vragen kunnen beantwoorden. Om dit gestructureerd te doen hebben veel organisaties een format waarin die vragen verder worden afgepeld. De eerste stap om een DPIA te kunnen doen is zorgen dat duidelijk is wat er wel en niet binnen de DPIA valt (de scope). Daarna moet je alle relevante informatie verzamelen om de eerste vraag te beantwoorden. Daarbij moeten de verwerkingen waar het over gaat al (zo goed mogelijk) zijn beschreven.

 Op basis daarvan kan een juridische onderbouwing worden gegeven. Vervolgens brengen we, mede op basis van deze informatie, risico’s in kaart. Daarvoor kijken wij naar een aantal bronnen van risico’s: Mens, Apparatuur, Programmatuur, Gegevens, Omgeving, Organisatie, Dienstverleners en Ketenpartners (afgekort als: “MAPGOOD+K”). Vervolgens kijken we naar maatregelen om deze risico’s te beperken of weg te nemen.

Wat gebeurt er nadat een DPIA is afgerond?

De afronding van een DPIA is mooi, maar vaak is het daarmee niet klaar. Zo zullen er misschien bepaalde maatregelen zijn die wel zijn voorgenomen, maar nog niet zijn uitgevoerd. Dan moet er op een gegeven moment worden gecheckt wat daarmee is gedaan. 

Als een DPIA door een externe partij is opgesteld, zoals wij vaak doen, dan moet de opdrachtgever na oplevering nog een aantal zaken regelen. De DPIA moet worden vastgesteld door de persoon die intern verantwoordelijk is voor de verwerking en intern in beheer worden genomen zodat die bij grote veranderingen kan worden bijgewerkt.

Auteurs

• 

  Robin Verhoef

  Adviseur