DPIA

Wat het doet

Een gegevensbeschermingseffectbeoordeling (DPIA) is volgens artikel 35 AVG verplicht als een verwerking waarschijnlijk een hoog risico inhoudt voor mensen. Denk aan systematische en uitgebreide profilering met aanzienlijke gevolgen, grootschalige verwerking van bijzondere categorieën van gegevens en grootschalige systematische monitoring van openbaar toegankelijke ruimten. De Gegevensbeschermingsautoriteit (GBA) heeft ook een lijst gepubliceerd van verwerkingen waarvoor een DPIA verplicht is.

Onze DPIA-aanpak maakt van de beoordeling een werkdossier. Je loopt stap voor stap door wat artikel 35, lid 7 voorschrijft, jouw team en de advocaat werken op dezelfde plek, en we bewaren wat er beslist werd en waarom. Of een risico aanvaardbaar is, beslissen wij niet voor jou. Dat oordeel is aan de advocaat en aan de verwerkingsverantwoordelijke.

Functies

Screening: is een DPIA nodig?

Een korte vragenlijst legt vast waar het om gaat: welke gegevens, hoe groot de schaal, en of er profilering, kwetsbare personen, nieuwe technologie, monitoring of het koppelen van datasets bij komt kijken. Je krijgt een aanbeveling met de criteria die haar uitlokten, en de advocaat bevestigt ze. Is er geen DPIA nodig, dan bewaren we de redenering, want ook die keuze hoort gedocumenteerd te zijn.

Beschrijving van de verwerking

Doeleinden, gegevenscategorieën, betrokkenen, ontvangers, systemen, bewaring en doorgiften beschrijf je in vaste velden. Staat de verwerking al in je verwerkingsregister, dan vertrekt de beschrijving vanuit die vermelding. Zo schrijf je niets twee keer op.

Noodzaak en evenredigheid

Hier gaat het om je rechtsgrond, om de vraag of je hetzelfde doel met minder gegevens kunt bereiken, om hoe betrokkenen worden geïnformeerd en hun rechten kunnen uitoefenen, en om de rol van verwerkers. Je antwoordt in vrije tekst, met uitleg over wat de wet verwacht.

Risicobeoordeling en maatregelen

We sommen de risico's voor mensen op, elk met waarschijnlijkheid, ernst en de maatregelen die ze verkleinen, en dan het restrisico. Het draait om schade voor mensen (discriminatie, verlies van controle, financieel verlies, blootstelling van gevoelige gegevens), niet om risico voor je bedrijf.

Samenwerken met de advocaat

Jij en de advocaat vullen de beoordeling samen in via het klantenportaal. Het advies van de DPO, dat je volgens artikel 35, lid 2 moet inwinnen, komt in het dossier, samen met of je het hebt gevolgd en zo niet, waarom.

Besluit en opvolging

Het dossier eindigt met een conclusie: doorgaan, doorgaan met bepaalde maatregelen, of vooraf de toezichthouder raadplegen op grond van artikel 36 omdat er een hoog restrisico overblijft. We leggen herzieningsdata vast, want een DPIA moet je opnieuw bekijken als de verwerking verandert.

Wat je mag verwachten

• Een afgeronde DPIA als gedateerd, exporteerbaar dossier, goedgekeurd door een advocaat.
• Een lijst van maatregelen met verantwoordelijken, waar je projectteam meteen mee aan de slag kan.
• Een vastgelegde beslissing over voorafgaande raadpleging van de toezichthouder, als dat speelt.
• Een koppeling tussen de DPIA en de vermelding in het register waar ze over gaat.

Zit er een AI-systeem in het spel, dan is de DPIA een nuttige basis voor de beoordeling van de gevolgen voor de grondrechten onder de AI-verordening. In AI-verordening en AVG lees je hoe die twee overlappen, en wervingstools zijn een klassiek voorbeeld.

Voorbeeld van begin tot eind

Een Gentse start-up in HR-software wil een module bouwen die sollicitaties scoort. Voor de ontwikkeling begint, vult de productverantwoordelijke de screening in het portaal in: profilering, aanzienlijk effect op mensen, innovatieve technologie. De tool raadt een volledige DPIA aan en de advocaat bevestigt. Product en advocaat vullen samen in twee sessies de beschrijving, de noodzaak en de risico's in. De risicolijst bevat discriminatie en ondoorzichtigheid. De maatregelen: menselijke controle op elke afwijzing, uitleg aan kandidaten en kortere bewaring. Het advies van de DPO wordt vastgelegd, het restrisico is aanvaardbaar en de DPIA wordt goedgekeurd met een herzieningsdatum bij de volgende grote release. Omdat de module ook een AI-systeem is, gaat het dossier mee naar de beoordeling onder de AI-verordening.

Dat afgeronde dossier toon je ook aan een klant of aan de toezichthouder als ze vragen hoe je een risicovol project hebt beoordeeld. En het is je vertrekpunt als dezelfde verwerking later verandert.

Waar we het inzetten

DPIA's horen vast bij onze DPO as a Service, meestal voor nieuwe software, monitoring van werknemers, grootschalige klantenanalyse en tools die mensen profileren. Ze helpen ook bij naleving van de AI-verordening. Vaak beginnen we met een technologie-audit van je website die meer tracking blootlegt dan iemand verwachtte. Het DPIA-document zelf zit in onze Document Studio, die het bijwerkt zodra de verwerking verandert.