DPIA uitvoeren

Een DPIA uitvoeren betekent dat u vooraf in kaart brengt welke risico’s een gegevensverwerking oplevert voor de mensen van wie u gegevens verwerkt, en welke maatregelen u daartegen neemt.

DPIA staat voor Data Protection Impact Assessment. In het Nederlands heet het een gegevensbeschermingseffectbeoordeling. De verplichting staat in artikel 35 van de AVG.

Op deze pagina leest u wanneer een DPIA verplicht is, wat erin hoort te staan, hoe het traject verloopt en wat u zelf moet aanleveren. Zonder juridisch jargon, want de verplichting is duidelijker dan de meeste uitleg erover.

Wat een DPIA is en wat hij oplevert

Een DPIA is geen formulier maar een beoordeling vooraf. U beschrijft wat u met welke gegevens gaat doen, u bepaalt welke risico’s dat oplevert voor de betrokkenen, en u legt vast welke maatregelen die risico’s verkleinen.

Het woord effectbeoordeling is daarbij letterlijk bedoeld. Het gaat niet om het risico voor uw organisatie, maar om het effect op de mensen van wie u gegevens verwerkt. Dat perspectief is waar de meeste DPIA’s op stranden, omdat organisaties gewend zijn vanuit hun eigen risico te denken.

De uitkomst is een onderbouwd besluit. Ofwel u start de verwerking met de maatregelen die u heeft genomen, ofwel het restrisico blijft te hoog en dan moet u de Autoriteit Persoonsgegevens vooraf raadplegen.

Een DPIA doet u dus voordat u begint. Achteraf een DPIA maken voor een verwerking die al draait kan, maar dan mist u het doel ervan.

Wanneer een DPIA verplicht is

De AVG noemt drie situaties waarin een DPIA in elk geval verplicht is. Daarnaast heeft de Autoriteit Persoonsgegevens een lijst met verwerkingen waarvoor de verplichting altijd geldt.

De hoofdregel is breder dan die drie situaties: is de kans groot dat een verwerking een hoog risico oplevert voor de rechten en vrijheden van betrokkenen, dan is een DPIA verplicht.

Systematische en uitgebreide beoordeling van personen op basis van geautomatiseerde verwerking, waaronder profilering, met gevolgen voor die personen
Grootschalige verwerking van bijzondere persoonsgegevens, zoals gezondheid, religie, etniciteit of strafrechtelijke gegevens
Stelselmatige en grootschalige observatie van openbaar toegankelijke ruimte, bijvoorbeeld met cameratoezicht
Verwerkingen die op de lijst van de Autoriteit Persoonsgegevens staan, zoals grootschalige verwerking van locatiegegevens
Nieuwe technologie waarvan de gevolgen voor betrokkenen nog niet goed te overzien zijn

Twijfelt u of uw verwerking eronder valt, dan is een korte toets vooraf goedkoper dan een volledige DPIA die achteraf niet nodig blijkt. Die toets is meestal in een dagdeel gedaan.

Blijkt uit die toets dat u wel een DPIA moet uitvoeren, dan heeft u meteen de afbakening te pakken waarmee het traject begint.

Wat er in een DPIA hoort te staan

Artikel 35 schrijft voor wat er minimaal in een DPIA staat. Dat zijn vier onderdelen, en toezichthouders kijken precies daarnaar.

Wie een DPIA gaat uitvoeren doet er goed aan die vier onderdelen als inhoudsopgave te gebruiken. Dan kunt u achteraf per onderdeel laten zien dat u eraan heeft voldaan.

Een systematische beschrijving van de verwerking, de doeleinden en het gerechtvaardigd belang als u zich daarop beroept
Een beoordeling van de noodzaak en de evenredigheid van de verwerking ten opzichte van het doel
Een beoordeling van de risico's voor de rechten en vrijheden van de betrokkenen
De maatregelen waarmee u die risico's beperkt, inclusief waarborgen en beveiligingsmaatregelen
De onderbouwing waarom u minder ingrijpende alternatieven niet toereikend vindt
Het advies van de functionaris gegevensbescherming, als uw organisatie er een heeft

Wat vaak ontbreekt is de onderbouwing van noodzaak en evenredigheid. Organisaties beschrijven wel wat ze doen, maar niet waarom het niet met minder gegevens kan. Juist dat is het onderdeel waar de Autoriteit Persoonsgegevens op doorvraagt.

Zo verloopt een DPIA in zes stappen

Een DPIA is een afgebakend traject met een begin en een eind. Zo ziet dat er in de praktijk uit.

Stap 1. Afbakenen. Wij bepalen samen welke verwerking precies onder de loep gaat. Eén verwerking, niet een heel systeem, want dat maakt de beoordeling onbruikbaar breed.

Stap 2. Beschrijven. Welke gegevens, van wie, met welk doel, op welke grondslag, hoe lang bewaard en wie heeft er toegang. Dit is het deel waar uw eigen mensen het meeste aanleveren.

Stap 3. Noodzaak en evenredigheid toetsen. Kan het met minder gegevens, korter bewaren of minder toegang. Deze stap levert vaak al de eerste concrete aanpassingen op.

Stap 4. Risico’s bepalen. Wat kan er misgaan en wat betekent dat voor de betrokkene. Denk aan onterechte uitsluiting, reputatieschade of verlies van controle over eigen gegevens.

Stap 5. Maatregelen kiezen. Per risico leggen wij vast welke maatregel het verkleint, wie die maatregel uitvoert en wanneer die klaar is.

Stap 6. Restrisico wegen en besluiten. Wat blijft er over na de maatregelen, en accepteert u dat. Blijft het risico hoog, dan volgt raadpleging van de Autoriteit Persoonsgegevens.

Heeft u een functionaris gegevensbescherming, dan vraagt de AVG dat u die om advies vraagt. Dat advies hoort in het dossier, ook als u ervan afwijkt.

Wat u na afloop in handen heeft

Aan het eind ligt er een dossier waarmee u kunt aantonen dat u zorgvuldig heeft gehandeld. Dat bestaat uit het volgende.

Dit dossier is het bewijs dat u de DPIA daadwerkelijk heeft uitgevoerd. Bij een klacht of een incident is dit het eerste waar naar gevraagd wordt.

Een DPIA-rapport dat de vier verplichte onderdelen uit artikel 35 afdekt
Een risicotabel met per risico de maatregel, de eigenaar en de termijn
Een onderbouwd besluit over het restrisico, met wie dat besluit heeft genomen
Een aangescherpte beschrijving voor uw verwerkingsregister
Een advies over of raadpleging van de Autoriteit Persoonsgegevens nodig is
Een aanzet voor de herbeoordeling, want een DPIA veroudert zodra de verwerking verandert

Het rapport is geschreven om gelezen te worden door uw directie, niet alleen door een jurist. Een DPIA die niemand begrijpt leidt niet tot besluiten, en dan is het een papieren exercitie geworden.

DPIA, risicoanalyse en verwerkingsregister naast elkaar

Deze drie worden vaak door elkaar gehaald, terwijl ze op verschillende vragen antwoord geven.

Het verwerkingsregister beschrijft wát u verwerkt en is verplicht voor vrijwel elke organisatie. Een risicoanalyse informatiebeveiliging kijkt naar het risico voor uw organisatie: uitval, diefstal, verlies van gegevens. De DPIA kijkt naar het risico voor de betrokkene.

Ze putten wel uit dezelfde bron. Een goed gevuld verwerkingsregister maakt een DPIA aanzienlijk sneller, omdat de beschrijving van de verwerking dan al klaarligt. Organisaties die hun register niet op orde hebben, besteden het eerste deel van de DPIA aan inhaalwerk.

Meer over de bredere AVG en privacy leest u op onze dienstpagina.

Wat u zelf klaarlegt en wie wij spreken

Om vlot te kunnen beginnen helpt het als het volgende klaarligt. Compleet hoeft het niet te zijn.

Een beschrijving van de verwerking die u wilt beoordelen
Uw verwerkingsregister, ook als dat niet volledig is
De verwerkersovereenkomsten met de leveranciers die erbij betrokken zijn
De bewaartermijnen die u nu hanteert en waar die zijn vastgelegd
Een overzicht van wie toegang heeft tot de gegevens
De namen van de proceseigenaar, iemand uit IT en uw functionaris gegevensbescherming als u die heeft

Ontbreekt een groot deel hiervan, dan zegt dat op zichzelf al iets. In dat geval begint het traject met het op orde brengen van de basis, en dat is tijd die u later terugverdient.

Van uitkomst naar een besluit over het restrisico

De DPIA eindigt niet met een lijst risico’s maar met een besluit. Dat besluit ligt bij uw organisatie, niet bij ons en niet bij de toezichthouder.

Blijft er na alle maatregelen een hoog risico over, dan schrijft artikel 36 van de AVG voor dat u de Autoriteit Persoonsgegevens raadpleegt voordat u begint. Dat is geen goedkeuringsprocedure maar een consultatie, en de AP heeft daar termijnen voor.

In de praktijk komt het zelden zover, omdat de maatregelen uit stap vijf het risico meestal terugbrengen tot een aanvaardbaar niveau. Maar het is wel de reden waarom u een DPIA vroeg genoeg start.

Doorlooptijd en wat de omvang bepaalt

Een enkele, afgebakende verwerking is meestal in twee tot drie weken doorlopen. Wilt u meerdere verwerkingen achter elkaar laten uitvoeren, dan gaat dat sneller naarmate het register beter op orde is. Dit zijn de factoren die het meest uitmaken.

Het aantal verwerkingen dat u tegelijk wilt beoordelen
Of het om een nieuwe verwerking gaat of om een bestaande die al jaren draait
Hoeveel leveranciers en onderaannemers erbij betrokken zijn
Of het verwerkingsregister actueel is of eerst moet worden bijgewerkt
Of er bijzondere persoonsgegevens in het spel zijn
Of er profilering of geautomatiseerde besluitvorming plaatsvindt

Wat de doorlooptijd het sterkst bepaalt is de beschikbaarheid van de mensen die weten hoe de verwerking echt werkt. Na een eerste gesprek geven wij een onderbouwde inschatting, zonder dat u ergens aan vastzit.

Zo werkt QENSORA bij het uitvoeren van een DPIA

Wij voeren de DPIA uit en begeleiden de besluitvorming eromheen. Wij leveren geen formele functionaris gegevensbescherming.

Dat onderscheid is belangrijk. De AVG vraagt dat de functionaris gegevensbescherming advies geeft over de DPIA, en die rol moet onafhankelijk zijn van degene die de beoordeling uitvoert. Heeft u een functionaris gegevensbescherming, dan betrekken wij die in het traject. Heeft u die niet en bent u ook niet verplicht er een te hebben, dan is dat geen belemmering.

Wat wij toevoegen is de vertaalslag. De AVG is abstract geformuleerd, uw verwerking is dat niet. Het werk zit in het omzetten van een wetsartikel naar concrete vragen over uw systeem, uw leveranciers en uw bewaartermijnen.

Zoekt u iemand die de privacytaken structureel oppakt in plaats van eenmalig, kijk dan naar het inhuren van een privacy officer.

Weten of u een DPIA nodig heeft

Twijfelt u of uw verwerking een DPIA vereist, dan is dat in een kort gesprek meestal al duidelijk. Soms is het antwoord nee, en dan hoeft u niets.

Is het antwoord ja, dan weet u meteen wat er ongeveer bij komt kijken en in welke volgorde. Geen verkoopgesprek, wel een eerlijk beeld van wat de AVG in uw situatie vraagt.

Veelgestelde vragen over het uitvoeren van een DPIA

Wanneer is een DPIA verplicht?

Wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. De AVG noemt drie situaties waarin dat in elk geval zo is, en de Autoriteit Persoonsgegevens heeft daarnaast een lijst met verwerkingen waarvoor de verplichting altijd geldt.

Wat kost het als wij geen DPIA doen terwijl dat wel moest?

Het ontbreken van een verplichte DPIA is zelf een overtreding van de AVG, los van de vraag of er iets misgaat met de gegevens. Bij een incident of een klacht is het bovendien het eerste waar de toezichthouder naar vraagt.

Moeten wij voor elke verwerking een aparte DPIA doen?

Nee. Voor verwerkingen die sterk op elkaar lijken mag u één DPIA maken. Wat niet werkt is één DPIA voor een heel systeem met uiteenlopende verwerkingen, want dan wordt de beoordeling te algemeen om bruikbaar te zijn.

Hoe lang duurt het uitvoeren van een DPIA?

Een afgebakende verwerking doorloopt u meestal in twee tot drie weken. De doorlooptijd wordt vooral bepaald door hoe snel de mensen beschikbaar zijn die weten hoe de verwerking echt werkt, niet door de beoordeling zelf.

Moeten wij de DPIA naar de Autoriteit Persoonsgegevens sturen?

Alleen als er na alle maatregelen nog een hoog risico overblijft. Dan schrijft artikel 36 voor dat u de Autoriteit Persoonsgegevens vooraf raadpleegt. In de meeste gevallen is dat niet nodig en houdt u de DPIA in eigen dossier.

Hebben wij een functionaris gegevensbescherming nodig voor een DPIA?

Niet per se. Heeft uw organisatie er een, dan vraagt de AVG dat u die om advies vraagt en dat advies vastlegt. Bent u niet verplicht er een te hebben en heeft u die ook niet, dan kunt u de DPIA gewoon uitvoeren.

Hoe vaak moeten wij een DPIA herzien?

Zodra de verwerking wezenlijk verandert, bijvoorbeeld bij een nieuwe leverancier, een nieuw doel of een nieuwe gegevenssoort. Los daarvan is periodiek herbeoordelen verstandig, want een DPIA beschrijft een situatie op een moment.

Kunnen wij een DPIA zelf doen?

Dat kan, en voor eenvoudige verwerkingen is dat goed te doen. Het lastigste onderdeel is de onderbouwing van noodzaak en evenredigheid, omdat u daarvoor kritisch naar uw eigen proces moet kijken. Een blik van buiten helpt daar meestal bij.

Improved Security, Smarter Compliance.

Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?

Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.