Wat is een DPIA?
Een DPIA (Data Protection Impact Assessment), in het Nederlands ook wel gegevensbescherming-effectbeoordeling (GEB) genoemd, is een instrument uit de AVG (artikel 35) waarmee u de privacy-risico's van een verwerking in kaart brengt vóórdat u ermee start.
Het is een preventief instrument: door risico's vooraf te identificeren, kunt u maatregelen treffen om schade te voorkomen. De Autoriteit Persoonsgegevens (AP) beschouwt de DPIA als een van de belangrijkste accountability-instrumenten onder de AVG.
Wanneer is een DPIA verplicht?
Een DPIA is verplicht wanneer een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen. De AVG noemt drie specifieke situaties:
- Systematische en uitgebreide beoordeling van persoonlijke aspecten (profiling)
- Grootschalige verwerking van bijzondere categorieën gegevens of strafrechtelijke gegevens
- Stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten
De DPIA-lijst van de AP
De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA verplicht is:
| Verwerking | Voorbeeld |
|---|---|
| Heimelijke waarneming | Verborgen camera's, mystery guests |
| Zwarte lijsten | Frauderegisters, incidentenregisters |
| Biometrische gegevens | Vingerafdrukscanner, gezichtsherkenning |
| Genetische gegevens | DNA-analyse, erfelijkheidsonderzoek |
| Locatiegegevens | GPS-tracking medewerkers, locatiehistorie |
| Flexibel cameratoezicht | Bodycams, dashcams, drones |
| Profilering | Creditscoring, gedragsanalyse, gepersonaliseerde pricing |
| Observatie van werknemers | Monitoren e-mail, internetgebruik, productiviteit |
| Koppeling van databases | Combineren van datasets uit verschillende bronnen |
| IoT-toepassingen | Slimme apparaten die continu data verzamelen |
De 9-criteria vuistregel
De door de EDPB onderschreven WP29-richtsnoeren noemen negen criteria: twee duiden doorgaans op een DPIA-plicht, maar één kan voldoende zijn; bekijk ook de lijst van de bevoegde toezichthouder:
- Evaluatie of scoring (profiling)
- Geautomatiseerde besluitvorming met rechtsgevolgen
- Systematische monitoring
- Gevoelige gegevens of zeer persoonlijke gegevens
- Grootschalige gegevensverwerking
- Koppeling of combinatie van datasets
- Gegevens van kwetsbare personen (kinderen, werknemers, patiënten)
- Innovatief gebruik van technologie
- Verwerking die betrokkenen belet een recht uit te oefenen
De 7 stappen van een DPIA
Stap 1: Beschrijf de verwerking
Documenteer concreet:
- Wat wordt verwerkt (welke gegevens)
- Waarom (verwerkingsdoel en rechtsgrondslag)
- Hoe (technische middelen en processen)
- Door wie (verantwoordelijke, verwerkers, ontvangers)
- Hoe lang (bewaartermijnen)
- Waar (opslaglocaties, doorgifte)
Stap 2: Beoordeel noodzakelijkheid en proportionaliteit
- Is de verwerking noodzakelijk voor het beoogde doel?
- Is er een minder ingrijpend alternatief beschikbaar?
- Staan de risico's in verhouding tot het doel?
- Is de rechtsgrondslag correct en toereikend?
Stap 3: Identificeer risico's
Breng de risico's in kaart voor betrokkenen:
| Risico-categorie | Voorbeelden |
|---|---|
| Ongeoorloofde toegang | Datalek, hacking, insiderthreat |
| Ongewenste wijziging | Data-corruptie, manipulatie |
| Verlies van gegevens | Ransomware, hardwarefalen |
| Overmatige verwerking | Meer data dan nodig verzameld |
| Discriminatie | Oneerlijke beslissingen op basis van profiling |
| Verlies van autonomie | Onvoldoende controle door betrokkenen |
Stap 4: Beoordeel waarschijnlijkheid en impact
Gebruik een risicomatrix:
| Lage impact | Gemiddelde impact | Hoge impact | |
|---|---|---|---|
| Hoge waarschijnlijkheid | Gemiddeld risico | Hoog risico | Zeer hoog risico |
| Gemiddelde waarschijnlijkheid | Laag risico | Gemiddeld risico | Hoog risico |
| Lage waarschijnlijkheid | Verwaarloosbaar | Laag risico | Gemiddeld risico |
Stap 5: Definieer maatregelen
Voor elk geïdentificeerd risico:
- Technische maatregelen: encryptie, pseudonimisering, toegangscontrole, logging
- Organisatorische maatregelen: beleid, training, procedures, audits
- Juridische maatregelen: contracten, verwerkersovereenkomsten, privacyverklaringen
Stap 6: Documenteer en besluit
Leg vast:
- De uitkomsten van de risicoanalyse
- De gekozen maatregelen en hun verwachte effect
- Het restrisico na implementatie van maatregelen
- Het besluit: doorgaan, aanpassen of afzien van de verwerking
Stap 7: Voorafgaande raadpleging (indien nodig)
Als het restrisico na maatregelen nog steeds hoog is, is voorafgaande raadpleging op grond van artikel 36 vereist. De termijn is in beginsel acht weken, kan in complexe gevallen met zes weken worden verlengd en kent de in artikel 36 voorziene opschorting.
DPIA voor websites en SaaS
Specifieke situaties waarin een DPIA relevant kan zijn voor uw digitale diensten:
| Dienst | DPIA nodig? | Reden |
|---|---|---|
| Gepersonaliseerde content op basis van gedrag | Risico beoordelen | Profielvorming en monitoring volgens omvang en context toetsen |
| AI-gebaseerde chatbot met klantdata | Risico beoordelen | Gegevensgebruik en gevolgen voor betrokkenen toetsen |
| Analytics met IP-tracking | Mogelijk | Grootschalige monitoring |
| Anonieme A/B-testing | Meestal nee | Geen persoonsgegevens als correct geanonimiseerd |
| E-mailmarketing met segmentatie | Mogelijk | Profiling als segmentatie op gedragsdata |
| Fraudedetectie met AI | Risico beoordelen | Effecten op personen en toepasselijke AP-lijst toetsen |
Tips voor een goede DPIA
- Begin vroeg — de DPIA moet plaatsvinden vóór de verwerking, niet achteraf
- Betrek uw FG — vraag het advies van de functionaris als deze is aangesteld
- Raadpleeg betrokkenen — indien passend, vraag input van betrokkenen
- Maak het levend — herzie de DPIA bij significante wijzigingen
- Documenteer uitvoerig — accountability vereist bewijs
- Wees eerlijk — onderschat risico's niet om de verwerking te rechtvaardigen
Conclusie
Een DPIA is meer dan een compliance-verplichting — het is een kans om privacy-risico's vroegtijdig te identificeren en te mitigeren. Organisaties die DPIA's serieus nemen, bouwen vertrouwen bij hun klanten en verkleinen het risico op datalekken en boetes.
WarDek levert beperkte technische bevindingen voor een URL; de scan bepaalt niet of een DPIA vereist is en beoordeelt geen restrisico voor betrokkenen.