Wanneer een DPIA nodig is
De AVG verplicht een DPIA wanneer een verwerking waarschijnlijk een hoog risico oplevert. Denk aan grootschalige bijzondere gegevens, systematische monitoring, profilering met belangrijke gevolgen, innovatieve technologie en combinaties van gegevens of kwetsbare betrokkenen.
Gebruik wettelijke criteria, lijsten van toezichthouders en de concrete context. Een korte drempeltoets legt vast waarom wel of geen volledige DPIA wordt uitgevoerd.
De inhoud van een goede DPIA
Beschrijf doelen, gegevensstromen, betrokkenen, systemen, ontvangers en bewaartermijnen. Beoordeel vervolgens noodzaak en proportionaliteit en werk risico’s uit vanuit het perspectief van personen, niet alleen vanuit organisatieschade.
Maatregelen moeten concreet, toegewezen en toetsbaar zijn. Restrisico vraagt een bewuste beslissing en bij blijvend hoog risico kan voorafgaand overleg met de toezichthouder nodig zijn.
Een levend document
Een DPIA moet worden herzien wanneer doelen, technologie, gegevens, leveranciers of dreigingen wezenlijk veranderen. Koppel acties daarom aan projectgovernance en het verwerkingsregister.
Datajuristen kan het volledige onderzoek uitvoeren of interne teams begeleiden, met afzonderlijk FG-advies waar dat nodig is.
Van uitleg naar uw praktijk
Wat moet in ieder geval zijn geregeld?
- Drempeltoets en aanleiding
- Systematische beschrijving van verwerking
- Noodzaak en proportionaliteit
- Risico’s voor rechten en vrijheden
- Maatregelen, restrisico en FG-advies
Veelgestelde vragen
Verder met uw vraag.
Wie is verantwoordelijk voor de DPIA?
De verwerkingsverantwoordelijke organisatie. Een PO of specialist kan begeleiden en de FG adviseert onafhankelijk.
Moet een DPIA vóór de start klaar zijn?
Ja. De beoordeling moet ontwerp en besluitvorming kunnen beïnvloeden en hoort dus vóór de hoog-risicoverwerking plaats te vinden.
Hoe vaak moet een DPIA worden herhaald?
Er is geen universele termijn. Herbeoordeling is nodig wanneer het risico verandert en periodieke review is verstandig.
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.