Privacy & gegevensbescherming · GRATIS ZELFCHECK
DPIA-scan: wanneer is verdiepend privacyonderzoek nodig?
Een DPIA onderzoekt vooraf wat een verwerking van persoonsgegevens voor mensen kan betekenen. Deze scan brengt signalen in beeld die nader onderzoek verdienen. De antwoorden vormen een startpunt voor de beoordeling van uw concrete verwerking.
Herkent u uw verwerking in een verplichte DPIA-categorie van de AVG of de AP-lijst?
Denk aan een reeds onderzochte categorie die op uw concrete verwerking van toepassing lijkt. Kies 'Weet ik niet' als dit nog niet is beoordeeld.
Geen registratie. Uw antwoorden blijven in deze browser en verdwijnen als u deze pagina verlaat. Bij contact kunt u zelf kiezen om een bewerkbare samenvatting mee te sturen. Uw losse antwoorden worden niet meegestuurd. De download maakt u op uw eigen apparaat.
ONDERWERPEN EN WERKWIJZE
Wat onderzoekt deze scan?
De uitslag toont alleen aandachtspunten die volgen uit uw antwoorden. Er wordt geen compliancepercentage berekend.
01Herkent u uw verwerking in een verplichte DPIA-categorie van de AVG of de AP-lijst?
Denk aan een reeds onderzochte categorie die op uw concrete verwerking van toepassing lijkt. Kies 'Weet ik niet' als dit nog niet is beoordeeld.
Vervolg bij een aandachtspunt: Controleer de precieze categorie, reikwijdte en uitzonderingen en organiseer zo nodig een volledige DPIA voordat de verwerking start.
02Ondersteunt de verwerking besluiten met ingrijpende gevolgen voor mensen?
Bijvoorbeeld toelating, krediet, werk, een uitkering of het kunnen gebruiken van een dienst. Ook de werkelijke rol van menselijke beoordeling telt.
Vervolg bij een aandachtspunt: Beschrijf welke beslissing wordt genomen, de gevolgen voor mensen en de mogelijkheden om een uitkomst te corrigeren of aan te vechten.
03Beoordeelt of voorspelt u persoonlijke kenmerken of gedrag?
Bijvoorbeeld betrouwbaarheid, prestaties, gezondheid, interesses, financiële situatie of toekomstige gedragingen.
Vervolg bij een aandachtspunt: Leg vast welke kenmerken worden afgeleid, op basis van welke gegevens en hoe de uitkomst wordt gebruikt.
04Gaat het om gevoelige gegevens of gegevensverwerking op grote schaal?
Denk aan gezondheidsgegevens, strafrechtelijke gegevens of een verwerking met veel personen, veel gegevens, een lange duur of een groot bereik.
Vervolg bij een aandachtspunt: Onderbouw de aard en schaal van de verwerking en onderzoek de gevolgen van onjuist gebruik, verlies of uitsluiting.
05Worden mensen stelselmatig gevolgd of geobserveerd?
Bijvoorbeeld door cameratoezicht, locatiegegevens, gedragsanalyse of het volgen van medewerkers. De context bepaalt het risico.
Vervolg bij een aandachtspunt: Onderzoek noodzaak, proportionaliteit, bereik, duur en minder ingrijpende alternatieven voor het volgen.
06Verwerkt u gegevens van mensen in een kwetsbare of afhankelijke positie?
Zoals kinderen, patiënten, werknemers of personen die moeilijk vrij kunnen kiezen of zij aan de verwerking deelnemen.
Vervolg bij een aandachtspunt: Breng de machtsverhouding, begrijpelijke informatie, keuzevrijheid en extra beschermingsmaatregelen in kaart.
07Gebruikt u nieuwe technologie of koppelt u gegevens op een onverwachte manier?
Bijvoorbeeld nieuwe AI-functionaliteit of combinaties van bestanden met verschillende oorspronkelijke doelen.
Vervolg bij een aandachtspunt: Beschrijf wat er verandert ten opzichte van het bestaande proces en toets verwachtingen, noodzaak en nieuwe risico's.
Veelgestelde vragen
Betekent twee keer 'ja' automatisch dat een DPIA verplicht is?
Nee. Europese toezichthouders gebruiken twee of meer risicocriteria als vuistregel. Deze verkorte scan telt geen volledige wettelijke criteria af. De concrete verwerking, de AVG en de AP-lijst blijven bepalend; ook één signaal kan nader onderzoek vragen.
Wie voert de DPIA uit: de Privacy Officer of de FG?
De verantwoordelijke organisatie organiseert de DPIA. Een Privacy Officer kan het werk voorbereiden en de proceseigenaar levert de feiten. Een aangestelde FG geeft onafhankelijk advies en houdt toezicht op de uitvoering; de FG neemt de verantwoordelijkheid van de organisatie niet over.
Kunnen we starten als de scan weinig signalen toont?
De scan geeft geen starttoestemming. Leg de afweging vast, controleer de grondslag en noodzaak en laat onzekerheden beoordelen. Een volledige DPIA kan nodig blijven.
Bronnen en afbakening
Inhoud bijgewerkt op 24 september 2026. De officiële bronnen zijn leidend; de uitkomst is een indicatieve zelfcheck.