DPIA uitgelegd: wanneer heb je er een nodig?
DPIA: wat en wanneer?
Een DPIA is een gestructureerde risicoanalyse waarmee je risico’s van een nieuwe of gewijzigde verwerking in kaart brengt, en daarvoor beheersende maatregelen formuleert. Het uitvoeren van een DPIA is wettelijk verplicht wanneer een verwerking mogelijk een hoog risico voor de rechten en vrijheden van de betrokkenen oplevert. In de praktijk zijn het vaak nieuwe applicaties, systemen of werkprocessen die een DPIA triggeren.
Om te beoordelen of jouw nieuwe of gewijzigde verwerking mogelijk een hoog risico oplevert, zijn er twee handvatten: de verplichte DPIA-lijst van de AP, met specifieke verwerkingen waarvoor een DPIA altijd vereist is, en de 9 criteria van de Europese toezichthouders (EDPB). Voldoet jouw verwerking aan twee of meer van die criteria, dan is een DPIA in de meeste gevallen verplicht. Ga je bijvoorbeeld grootschalig of gevoelige persoonsgegevens verwerken, of gebruik maken van profileren? Dan is een DPIA waarschijnlijk verplicht. Twijfel je of jouw verwerking een hoog risico oplevert? Dat horen we vaker. Wij kijken graag met je mee.
Hoe ziet ons DPIA-proces eruit?
1. Beschrijving van de feiten
Een DPIA begint met een feitelijke beschrijving van de verwerking: het systeem of proces. Welke persoonsgegevens worden er verwerkt, van wie, en met welk doel? Wie heeft toegang tot de gegevens, zowel binnen als buiten de organisatie, en welke veiligheidsmaatregelen moeten de gegevens beschermen?
Om een volledig en juist beeld te krijgen, duiken onze privacy-experts in de door jou aangeleverde documentatie, zoals contracten, handleidingen, en privacyverklaringen. Ook gaan we in gesprek met medewerkers binnen de organisatie. Als externe adviseurs merken wij vaak zaken op die voor je organisatie vanzelfsprekend zijn geworden. Dat brengt soms informatie en risico’s naar boven die intern over het hoofd worden gezien. De feitelijke beschrijving vormt de basis voor de volgende onderdelen van de DPIA.
2. Beoordeling van de rechtmatigheid van deze verwerkingen
Het tweede onderdeel bestaat uit een juridische analyse. Onze privacy-experts beoordelen of de verwerking rechtmatig is: is er een geldige grondslag, wordt er voldaan aan de beginselen uit de Algemene verordening gegevensbescherming (AVG) zoals dataminimalisatie, doelbinding en vertrouwelijkheid en integriteit, en zijn de rechten van betrokkenen gewaarborgd? Ontbreekt een geldige grondslag of blijkt de verwerking anderszins onrechtmatig, dan vormt dit op zichzelf al een privacyrisico. De AVG staat centraal bij het beoordelen van de verwerking, maar is niet de enige relevante wetgeving. Afhankelijk van de sector waarin je organisatie werkzaam is en de aard van de verwerking kijken onze privacy-experts ook naar andere relevante wet- en regelgeving en naar sectorspecifieke richtlijnen en standaarden.
3. Mogelijke risico’s voor de betrokkenen
Op basis van de feiten en de juridische analyse brengen we de risico’s in kaart. Een DPIA gaat om risico’s voor de rechten en vrijheden van betrokkenen. Dat kunnen bijvoorbeeld risico’s zijn op het gebied van discriminatie, uitsluiting of profilering. Ook kan er sprake zijn van concrete technische risico’s: het ontbreken van two-factor authentication, een gebrek aan logging, of juist het te lang opslaan van logs, bijvoorbeeld.
4. Maatregelen om risico’s te beperken
Voor elk privacyrisico dat naar voren komt tijdens de DPIA, formuleren we passende maatregelen. Deze maatregelen kunnen technisch of organisatorisch van aard zijn.
Technische maatregelen richten zich op de beveiliging van de gegevens. Denk aan encryptie, logging, monitoring en toegangsbeheer om onbevoegde toegang of misbruik tegen te gaan. Organisatorische maatregelen richten zich op mensen en processen: zoals duidelijke privacyrichtlijnen, het trainen van medewerkers en het opstellen van werkinstructies.
Hoe wij kunnen helpen
Een DPIA is geen eindstation. Na afronding van de DPIA gaat je organisatie aan de slag met het implementeren van de maatregelen. Privacy Company kan een DPIA voor jouw organisatie uitvoeren en je ondersteunen bij het vertalen van de uitkomsten naar concrete acties.
Privacy Company heeft ruime ervaring met het uitvoeren van DPIA’s voor organisaties in uiteenlopende sectoren. Van maatwerkopdrachten tot beoordelingen van veelgebruikte diensten. Benieuwd wat we voor jouw organisatie kunnen betekenen? Neem gerust vrijblijvend contact met ons op.
