DPIA uitvoeren: wanneer verplicht en hoe (AVG en ISO 27701)
Een DPIA (data protection impact assessment) is een risicoanalyse die je vooraf maakt voor een verwerking van persoonsgegevens met een waarschijnlijk hoog privacyrisico. De plicht staat in artikel 35 van de AVG . De Autoriteit Persoonsgegevens heeft een lijst van 17 soorten verwerkingen waarvoor een DPIA altijd verplicht is.
Werk je met ISO 27701, dan is de DPIA geen los project. De norm vraagt een privacy-risicoanalyse als vast onderdeel van je PIMS. Een goede DPIA is het bewijs dat die analyse werkt. Hieronder lees je wanneer je een DPIA moet doen, wat er minimaal in staat en hoe een uitgewerkte DPIA eruitziet.
Wanneer is een DPIA verplicht?
Je moet een DPIA doen als een verwerking “waarschijnlijk een hoog risico” oplevert voor de mensen van wie je gegevens verwerkt. Dat beoordeel je zelf. Drie bronnen helpen je bij die beoordeling.
| Bron | Wat erin staat | Voorbeeld |
|---|---|---|
| AVG artikel 35 lid 3 | Drie situaties waarin een DPIA altijd moet | Op grote schaal gezondheidsgegevens verwerken |
| Lijst van de AP (2019) | 17 soorten verwerkingen met verplichte DPIA | Controle van werknemers, cameratoezicht, biometrie |
| 9 criteria van de EDPB | Vuistregel: 2 of meer criteria = DPIA | Gevoelige gegevens én kwetsbare personen |
De lijst van de AP staat ook als besluit op wetten.overheid.nl . Staat je verwerking er niet op, dan gebruik je de negen criteria. De AP benadrukt dat je ook moet kunnen onderbouwen waarom je géén DPIA doet. Dat hoort bij je verantwoordingsplicht.
De 9 criteria in het kort
- Mensen beoordelen op persoonskenmerken (profilering, scores).
- Geautomatiseerde besluiten met wezenlijke gevolgen.
- Stelselmatige en grootschalige monitoring.
- Gevoelige gegevens, zoals gezondheid of strafrechtelijke gegevens.
- Grootschalige verwerking.
- Koppelen of combineren van databestanden.
- Gegevens over kwetsbare personen: werknemers, kinderen, patiënten.
- Nieuwe technologie, bijvoorbeeld AI of internet of things.
- Mensen worden uitgesloten van een recht, dienst of contract.
Wanneer hoef je geen DPIA te doen?
Geen DPIA is nodig als het risico waarschijnlijk niet hoog is, of als je verwerking sterk lijkt op een verwerking waarvoor al een DPIA bestaat. Ook als een wet de verwerking regelt en bij die wet al een DPIA is gedaan, vervalt de plicht meestal.
Voor de zorg geldt een bijzondere uitzondering. Individuele artsen en zorgprofessionals hoeven voor hun patiëntgegevens geen DPIA te doen (overweging 91 AVG). Volgens de AP-uitleg over grootschaligheid in de zorg wordt dat anders boven de 10.000 patiënten in één informatiesysteem. Dan is de verwerking grootschalig en zijn een DPIA en een functionaris gegevensbescherming (FG) verplicht.
Wat moet er in een DPIA staan?
De AVG schrijft geen vaste methode voor. Je mag een eigen sjabloon gebruiken, zolang deze vier onderdelen erin zitten (artikel 35 lid 7).
| Onderdeel | Vraag die je beantwoordt |
|---|---|
| Systematische beschrijving | Wat ga je verwerken, van wie, waarvoor en met welke systemen? |
| Noodzaak en evenredigheid | Is het doel gerechtvaardigd en verwerk je niet meer dan nodig? |
| Risico’s voor betrokkenen | Wat kan er misgaan voor de mensen zelf, en hoe ernstig is dat? |
| Maatregelen | Hoe verklein je die risico’s en hoe toon je naleving aan? |
Heb je een FG, dan moet je diens advies vragen en in het rapport opnemen wat je ermee deed. Een verwerker moet je helpen met informatie, bijvoorbeeld over beveiliging en subverwerkers.
DPIA uitvoeren in 5 stappen
Beschrijf de verwerking
Schrijf in gewone taal op welke gegevens je verzamelt, van welke groep mensen, voor welk doel en welke systemen en leveranciers meedoen. Haal de basis uit je verwerkingsregister.
Toets noodzaak en evenredigheid
Leg de grondslag vast en vraag je af of het met minder gegevens kan. Kies bewaartermijnen en bepaal wie toegang krijgt.
Breng de risico’s in kaart
Denk vanuit de betrokkene, niet vanuit je bedrijf. Wat gebeurt er als gegevens uitlekken, kloppen niet meer of onterecht leiden tot een besluit? Scoor kans en impact, bijvoorbeeld met een risicomatrix.
Kies maatregelen en bepaal het restrisico
Koppel per risico een maatregel en een eigenaar. Beoordeel daarna wat er overblijft.
Besluit, leg vast en plan herbeoordeling
Laat de eigenaar van de verwerking tekenen. Blijft er een hoog restrisico over, dan moet je eerst de AP raadplegen via de voorafgaande raadpleging (artikel 36).
Voorbeeld: DPIA voor een verzuimmodule in HR-software
Fictief voorbeeld. Een SaaS-bedrijf met 60 medewerkers levert HR-software aan 300 klanten. Het voegt een verzuimmodule toe waarin klanten ziekmeldingen en hersteldata registreren. Het bedrijf is daarvoor verwerker; de klanten zijn verantwoordelijk. De klanten moeten de DPIA doen, maar het bedrijf levert een kant-en-klaar DPIA-deel aan.
Criteriatoets: gevoelige gegevens (4), grootschalig (5), kwetsbare personen: werknemers (7). Drie criteria, dus een DPIA is nodig.
| Risico voor de werknemer | Kans | Impact | Maatregel | Restrisico |
|---|---|---|---|---|
| Leidinggevende ziet diagnose die alleen de bedrijfsarts mag zien | Middel | Hoog | Geen vrij tekstveld voor klachten; rolgebaseerde toegang | Laag |
| Datalek bij de hostingpartij | Laag | Hoog | Versleuteling, subverwerker binnen de EU, jaarlijkse pentest | Laag |
| Verzuimhistorie blijft jaren staan | Hoog | Middel | Automatisch verwijderen na de afgesproken termijn | Laag |
| Klant gebruikt module om “veelverzuimers” te profileren | Middel | Hoog | Geen rankingfunctie; instructie in de verwerkersovereenkomst | Middel |
Het restrisico “middel” bij profilering accepteert het bedrijf niet zomaar. Het spreekt in de verwerkersovereenkomst af dat de klant de module niet voor profilering gebruikt, en het monitort exports. De FG adviseert positief, mits de bewaartermijn per klant instelbaar wordt.
De DPIA is geen eenmalig document. Komt er een nieuwe functie bij, zoals AI-voorspellingen van verzuim, dan herzie je de DPIA. Nieuwe technologie is zelf een criterium.
Hoe sluit de DPIA aan op ISO 27701?
ISO 27701 vraagt dat je privacyrisico’s systematisch beoordeelt, zowel voor je organisatie als voor de betrokkenen. De DPIA uit de AVG is de zwaarste vorm daarvan, voor verwerkingen met hoog risico. Bijlage D van de norm koppelt maatregelen aan AVG-artikelen, waaronder artikel 35.
| AVG-eis | Waar het terugkomt in je PIMS |
|---|---|
| DPIA bij hoog risico (art. 35) | Privacy-risicoanalyse en de eisen van ISO 27701 |
| Advies van de FG | Rollen en verantwoordelijkheden in het PIMS |
| Hulp van de verwerker | Maatregelen voor verwerkers over het ondersteunen van de verantwoordelijke |
| Periodieke herbeoordeling | Interne audit en directiebeoordeling |
De auditor kijkt in de ISO 27701-audit of je een criteriatoets hebt gedaan, of DPIA’s actueel zijn en of de maatregelen echt zijn ingevoerd. Een DPIA die in een la ligt, levert een afwijking op.
Veelgemaakte fouten bij een DPIA
- De DPIA pas na livegang doen. Begin in de ontwerpfase, ook als nog niet alles vaststaat.
- Alleen IT-risico’s beschrijven. Een DPIA gaat over de gevolgen voor mensen, niet over uitval van je server.
- De verwerker laat de DPIA aan de klant over zonder informatie. De verwerker moet meewerken.
- Geen onderbouwing bij “geen DPIA nodig”. Schrijf kort op welke criteria je toetste.
Meer lezen
- Verwerkingsregister met voorbeeld - De basis voor elke DPIA
- Stappenplan ISO 27701 - Waar de DPIA in je implementatie valt
- AVG en ISO 27701 - Hoe de norm op de wet aansluit
- AP over de DPIA - Uitleg van de toezichthouder