DPIA uitvoeren: wanneer het moet en hoe je het aanpakt

Wat is een DPIA?

Volgens de AP is een DPIA een instrument om vooraf de privacyrisico's van een gegevensverwerking in kaart te brengen, zodat je maatregelen kunt nemen om die risico's te verkleinen. De verplichting staat in de AVG, en de wet noemt de DPIA een gegevensbeschermingseffectbeoordeling. Je maakt die afweging vóór de verwerking begint. Een DPIA gaat dus over risico's die je vooraf ziet, niet over een datalek dat al heeft plaatsgevonden.

Een DPIA is geen formulier maar een instrument om risico's te verkleinen. De voorgenomen verwerking moet daarbij in elk geval rechtmatig zijn.

Wanneer is een DPIA verplicht?

Artikel 35 lid 1 van de AVG-tekst op de site van de AP schrijft voor dat je vóór de verwerking een beoordeling uitvoert als een soort verwerking, zeker bij nieuwe technologieën, waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van mensen. Eén beoordeling mag een reeks vergelijkbare verwerkingen met vergelijkbare hoge risico's afdekken.

Lid 3 noemt drie gevallen waarin een DPIA met name verplicht is:

• een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering, met besluiten die rechtsgevolgen hebben of vergelijkbaar wezenlijke gevolgen;
• grootschalige verwerking van bijzondere categorieën van persoonsgegevens of van gegevens over strafrechtelijke veroordelingen en strafbare feiten;
• stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.

Om te bepalen of jouw verwerking eronder valt, kijk je naar drie bronnen die de AP noemt: de AVG zelf, de AP-lijst en de negen criteria. Het bepalen of je verwerking een hoog privacyrisico oplevert, doe je zelf als organisatie.

Volgens de AP hoef je geen DPIA te doen als je verwerking waarschijnlijk geen hoog privacyrisico oplevert, als ze sterk lijkt op een verwerking waarvoor al een DPIA is gedaan, of als een andere Europese of nationale wet haar regelt en daarbij al een DPIA is uitgevoerd. De toezichthouder kan wel oordelen dat er toch een DPIA nodig is. De keuze om geen DPIA te doen moet je ook kunnen onderbouwen, als onderdeel van de verantwoordingsplicht.

Je stelt de vraag "is een DPIA nodig?" bij een nieuw systeem, een nieuw doel voor bestaande gegevens, een nieuwe leverancier of een nieuwe technologie. Of een AI-toepassing een DPIA vraagt, hangt af van de criteria. Een korte voorbeoordeling helpt bij die keuze, maar is een werkwijze en geen wettelijke stap.

Welke verwerkingen staan op de lijst van de AP?

Het besluit van de AP over de lijst dateert van 27 november 2019 en staat in de Staatscourant (2019, nummer 64418). Het steunt op artikel 35 lid 4 AVG. Op de lijst staan 17 soorten verwerkingen:

De lijst is niet uitputtend en in EU-verband afgestemd. Voor elke verwerking op de lijst geldt dat je aan alle verplichtingen van de AVG moet voldoen. Onder heimelijk onderzoek valt ook heimelijk cameratoezicht door werkgevers tegen diefstal of fraude door werknemers, ook in incidentele gevallen vanwege de ongelijke machtsverhouding. De begrippen grootschalig, systematisch en stelselmatig gelden niet voor verwerkingen die ad hoc of incidenteel plaatsvinden. Zonder geldige grondslag mag je gegevens niet verwerken, ongeacht de uitkomst van een DPIA.

Hoe werken de negen criteria?

De negen criteria komen van de Europese privacytoezichthouders (EDPB). De AP gebruikt ze om te bepalen of een DPIA nodig is:

1. beoordelen van mensen op basis van persoonskenmerken;
2. geautomatiseerde besluiten;
3. stelselmatige en grootschalige monitoring;
4. gevoelige gegevens;
5. grootschalige gegevensverwerkingen;
6. gekoppelde databases;
7. gegevens over kwetsbare personen;
8. gebruik van nieuwe technologieën;
9. blokkering van een recht, dienst of contract.

De vuistregel is een DPIA bij twee of meer van deze criteria. Voldoet je verwerking aan één of geen, dan moet je kunnen uitleggen waarom je geen DPIA doet. Dat hoort bij je verantwoordingsplicht.

De AP noemt als voorbeeld een bank die de kredietwaardigheid van klanten bepaalt (creditscoring), en een bedrijf dat bezoekers van zijn website volgt en daarvan profielen maakt. Bij kwetsbare personen noemt de AP werknemers, kinderen en patiënten, omdat er een ongelijke machtsverhouding is. De criteria zijn een hulpmiddel en geen rekensom. Het tellen zegt nog niet wat een verwerking voor mensen betekent.

Hoe voer je een DPIA uit?

De AVG schrijft geen vaste methode voor. Volgens de AP mag je zelf een methode kiezen, zolang die de basisvereisten bevat: een beschrijving van de verwerking en de doeleinden, een beoordeling van noodzaak en evenredigheid, een beoordeling van de risico's voor betrokkenen, en de maatregelen om die risico's aan te pakken en aan te tonen dat je aan de AVG voldoet.

De ordening in acht stappen is duiding, een werkwijze die je kunt aanpassen. De onderdelen zelf komen uit de wet. De AP adviseert de DPIA in de ontwerpfase te starten, zo vroeg als praktisch mogelijk, ook als nog niet alle details bekend zijn. Dan is het makkelijker te voldoen aan privacy by design en privacy by default. Dat je de DPIA gaandeweg moet bijstellen is geen reden om hem uit te stellen. Je mag de DPIA uitbesteden, maar je blijft eindverantwoordelijk.

Stel dat een organisatie software wil invoeren die op werklaptops bijhoudt welke applicaties en websites medewerkers gebruiken, om productiviteit te meten. In stap 1 zie je dat de soort controle werknemers op de AP-lijst staat. In stap 2 raakt het systematische monitoring en gegevens over kwetsbare personen, en mogelijk een beoordeling van mensen. Dat zijn twee of meer criteria en de soort staat op de lijst, dus een DPIA is nodig. In stap 3 beschrijf je wat er wordt verzameld, waarom, en of het doel milder te halen is. In stap 4 benoem je risico's voor medewerkers, zoals een gevoel van permanente controle of onjuiste conclusies uit de data. In stap 5 kies je maatregelen, zoals minder gedetailleerde gegevens, kortere bewaring en geen individuele rapportage. In stap 6 vraag je de FG om advies, werkt de verwerker mee en raadpleeg je medewerkers of hun vertegenwoordigers. Blijft er een hoog restrisico, dan raadpleeg je de AP voordat je start (stap 7).

Een goede DPIA beschrijft de verwerking zo concreet dat een buitenstaander haar begrijpt, benoemt risico's voor mensen en niet alleen voor de organisatie, en koppelt elke maatregel aan een risico.

Wie doet wat bij een DPIA?

De verwerkingsverantwoordelijke is eindverantwoordelijk, ook als een ander de DPIA uitvoert. Is er een functionaris voor gegevensbescherming (FG) aangesteld, dan vraag je zijn advies en neem je in het rapport op wat hij adviseerde en wat je ermee deed. Een verwerker moet je ondersteunen en de nodige informatie geven. Betrokkenen of hun vertegenwoordigers vraag je waar nodig om hun mening. Wijk je daarvan af, dan documenteer je waarom.

Privacy beschrijft de verwerking en de risico's voor mensen. Security brengt de technische maatregelen in en beschrijft wat er mis kan gaan bij een lek. Artikel 35 vraagt om waarborgen en veiligheidsmaatregelen, dus de beschrijving moet toetsbaar zijn, en dreigingsmodellering helpt daarbij. Een DPIA is geen security-risicoanalyse: die kijkt naar risico's voor de organisatie, de DPIA naar risico's voor mensen. Ze overlappen wel. Zie het verschil tussen security, privacy en compliance.

De privacy officer kan de DPIA coördineren en de documentatie bewaken. De FG adviseert en ziet toe, maar voert de DPIA niet uit en stuurt de verwerking niet aan. Functies waar de DPIA een rol speelt zijn onder meer compliance officer, information security officer, security architect en GRC-consultant. Aansluitende kaders en certificeringen zijn onder meer ISO 27701 en CIPP/E. Lees bij een vacature op woorden als "DPIA", "privacy by design" en "verwerkingsregister": ze laten zien of een functie vooral juridisch, procesmatig of technisch is. Meer over het werk staat in de carrieregids over privacy officers, bij werkgevers met deze functie en in het vakgebied compliance en privacy.

Wat is voorafgaande raadpleging?

Blijkt uit de DPIA dat de verwerking zonder maatregelen een hoog risico oplevert, en kun je dat risico niet beperken, dan raadpleeg je de toezichthouder vóór de verwerking. Artikel 36 lid 1 AVG regelt dat. De AP noemt dit voorafgaande raadpleging. Zolang de AP je aanvraag niet heeft beoordeeld, mag je niet starten.

Je stuurt het aanvraagformulier, de DPIA en, als er een FG is, diens advies mee. De AP geeft binnen acht weken schriftelijk advies, met een mogelijke verlenging van zes weken. Voor een AVG-verwerking betekent dat maximaal 14 weken. Er zijn drie uitkomsten: een positief advies met maatregelen die je moet doorvoeren voordat je start, een negatief advies waarin de AP adviseert van de verwerking af te zien, of geen advies nodig, waarna je direct mag starten.

Er is geen uitzondering voor een pilot of test met echte persoonsgegevens. De raadpleging gaat ook niet over de grondslag: een ontbrekende grondslag is geen restrisico.

Wanneer moet je een DPIA herhalen?

Volgens de AP is een DPIA geen eenmalige opdracht maar een continu proces. Blijf monitoren of de verwerking, de risico's of de context veranderen, bijvoorbeeld bij een nieuwe technologie of een ander doel. Bij zo'n verandering is een nieuwe DPIA nodig. Artikel 35 lid 11 AVG vraagt je om, waar nodig, te toetsen of de verwerking volgens de DPIA verloopt, in elk geval bij een verandering van het risico. De AP raadt ook aan periodiek een DPIA uit te voeren, ook als de verwerking niet is veranderd, bijvoorbeeld eens per 3 jaar. Dat is een voorbeeld van de AP en geen wettelijke termijn.

Publiceren is niet verplicht, maar de AP raadt het aan, vooral bij verwerkingen die het algemene publiek raken. Een samenvatting volstaat als er informatie is die je niet openbaar wilt maken, zoals beveiligingsrisico's. Bij overtreding van de artikelen 25 tot en met 39 AVG, waaronder artikel 35 en 36, kan de boete oplopen tot 10 miljoen euro of, voor een onderneming, tot 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, als dat meer is.