Schrijver: Bas van den Hof, Adviseur Informatiebeveiliging & Privacy

Nut en noodzaak van de DPIA
Is een organisatie van plan persoonsgegevens te gebruiken, verzamelen of delen en is hierbij de kans op een hoog privacy risico? Dan is de organisatie volgens de Algemene Verordening Gegevensbescherming (AVG) verplicht een Data Protection Impact Assessment (DPIA) uit te voeren.

Wat is een DPIA?
Een DPIA is een instrument om vooraf de privacy risico’s van een gegevensverwerking in kaart te brengen. Het helpt de organisatie om mogelijke risico’s te identificeren voordat ze persoonsgegevens gaat verwerken. Hierdoor kunnen passende maatregelen worden genomen om deze risico’s te minimaliseren.

Wanneer moet een DPIA worden uitgevoerd?
De AVG verplicht organisaties om een DPIA uit te voeren wanneer een gegevensverwerking waarschijnlijk een hoog privacy risico oplevert. Een organisatie moet zelf bepalen of een gegevensverwerking een hoog privacy risico oplevert. Om dit te kunnen bepalen kunnen de volgende criteria hierbij helpen:

In Artikel 35 AVG staat wanneer een DPIA moet worden uitgevoerd.
De Autoriteit Persoonsgegevens heeft een lijst opgesteld met 17 soorten verwerkingen waarvoor het uitvoeren van een DPIA verplicht is.
De European Data Protection Board heeft 9 criteria opgesteld voor het uitvoeren van een DPIA. Met als vuistregel dat er een DPIA moet worden uitgevoerd als de verwerking voldoet aan 2 of meer van deze criteria.

Hoe moet een DPIA worden uitgevoerd?
De uitvoering van een DPIA is vormvrij. Er moet wel aan een aantal basisvereisten worden voldaan. De basisvereisten staan beschreven in Artikel 35 lid 7 AVG:

Een systematische beschrijving van de beoogde verwerkingen en de doeleinden;
Beoordeling van de noodzaak en de evenredigheid van de verwerking;
Beoordeling van de risico’s voor de rechten en vrijheden van de betrokkene bij de verwerking;
Beoogde maatregelen om deze risico’s aan te pakken.

Wat is de meerwaarde van een DPIA?
Naast het feit dat de DPIA verplicht is om uit te voeren, biedt een DPIA ook meerwaarde voor organisaties.

Het draagt onder andere bij aan het vertrouwen van burgers en klanten in de overheid en andere organisaties. Door transparant te zijn over de risico’s en maatregelen, laat een organisatie zien dat ze zorgvuldig omgaat met persoonsgegevens.

Daarbij ondersteunt de DPIA bij het identificeren van de privacy risico’s, waardoor het bewustzijn binnen de organisatie wordt verhoogd, de impact van de gegevensverwerking beter wordt begrepen, bestaande maatregelen worden gecontroleerd of deze adequaat zijn om de privacy te waarborgen en om te kijken naar mogelijke verbeteringen in processen en systemen.

Daarnaast kan een DPIA kostenbesparend zijn. Door het vroegtijdig betrekken van privacy bij het ontwikkelen en implementeren van projecten en systemen, kunnen organisaties voorkomen dat ze later dure aanpassingen moeten maken.

Conclusie
Een DPIA is een essentieel instrument voor organisaties die persoonsgegevens willen gebruiken, verzamelen of delen. Het helpt organisaties bij het identificeren van privacy risico’s, het nemen van passende maatregelen om deze risico’s te minimaliseren, besparen van kosten en het vertrouwen in de organisatie te vergroten.

De Consultants van Dignitas weten alles van DPIA’s en bieden organisaties ondersteuning bij het uitvoeren ervan. Zij benaderen elk project met een pragmatische aanpak, waarbij ze de belangen van de organisatie centraal stellen en streven naar optimale privacybescherming.

Meer over onze AVG dienstverlening

Deel dit artikel

DPIA Uitgelicht