DPIA en de rol van de Functionaris Gegevensbescherming: Alles wat je moet weten

In de wereld van privacy en gegevensbescherming is de term DPIA steeds vaker te horen. Deze Data Protection Impact Assessment (DPIA) speelt een belangrijke rol bij het waarborgen van de privacy van betrokkenen bij de verwerking van persoonsgegevens.

Maar wat houdt een DPIA precies in, en wat is de rol van de Functionaris Gegevensbescherming (FG) hierbij?

In dit artikel duiken we dieper in deze onderwerpen en ontdek je hoe de FG een sleutelrol speelt in het DPIA-proces.

Wat is een DPIA?

Een DPIA, oftewel een Data Protection Impact Assessment, is een instrument dat organisaties helpt bij het identificeren en beperken van privacy risico’s bij de verwerking van persoonsgegevens. Het is een verplichting onder de Algemene Verordening Gegevensbescherming (AVG) wanneer een verwerkingsactiviteit mogelijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Of eenvoudig gezegd: je moet een DPIA doen als de voorgenomen verwerking gevaar voor persoonsgegevens kan opleveren voor de betrokken personen.

Het doel van een DPIA is om deze risico’s tijdig te signaleren en passende maatregelen te treffen om deze risico’s te mitigeren.

Het proces van een DPIA bestaat uit verschillende stappen, waarbij je antwoord geeft op drie kernvragen:

1. Wat gaan we, waarom en op welke manier doen met persoonsgegevens?
2. Is het te valideren binnen de AVG (en andere wet- en regelgeving)?
3. Welke risico’s zijn er aan verbonden, en kunnen we die risico’s onder controle brengen en houden?

Een DPIA moet uitgevoerd worden voordat de verwerking plaatsvindt en dient, indien nodig, geactualiseerd te worden wanneer de aard van de verwerking verandert. Ben je al begonnen met een verwerking zonder een DPIA, terwijl een DPIA eigenlijk wel nodig was vooraf uit te voeren? Voer de DPIA dan alsnog zo snel mogelijk uit!

De rol van de Functionaris Gegevensbescherming (FG) bij een DPIA

De Functionaris Gegevensbescherming (FG) speelt een belangrijke rol bij het uitvoeren van een DPIA. De FG is een interne of externe deskundige die toezicht houdt op de naleving van de AVG binnen een organisatie. Het is de taak van de organisatie, meestal belegt bij een Privacy Officer, om een correct privacy management te voeren, en werknemers voldoende bewust te laten zijn welke regels er gelden. De FG ziet er op toe dat dit ook werkelijk gebeurt, en signaleert als dit onvoldoende het geval is.

Bij het uitvoeren van een DPIA kan de FG op verschillende wijzen ondersteuning bieden. Allereerst kan de FG adviseren over de noodzaak van een DPIA en welke criteria er gelden voor de uitvoering daarvan. Desgewenst kan de FG het proces begeleiden, daarbij er op toeziend dat de DPIA volgens de richtlijnen wordt uitgevoerd, alle relevante risico’s in kaart worden gebracht en dat er adequate maatregelen worden genomen om deze risico’s te verminderen.

Daarnaast speelt de FG een rol in de communicatie met de toezichthoudende autoriteit. Indien de DPIA uitwijst dat de voorgenomen verwerking nog steeds een hoog risico met zich meebrengt ondanks de genomen maatregelen, dient de organisatie de toezichthoudende autoriteit hierover te informeren. Dit geeft de autoriteit de mogelijkheid om te adviseren of aanvullende maatregelen vereist zijn. De FG wijst de organisatie op de noodzaak van het melden bij de AP.

Het belang van een nauwe samenwerking

Een succesvolle DPIA vereist een nauwe samenwerking tussen de verschillende afdelingen binnen een organisatie en de FG. Dit proces vraagt om input van juridische, IT-, en privacy-experts, en de FG kan hierin een coördinerende rol spelen. De FG zorgt er in dat geval voor dat er een evenwicht wordt gevonden tussen de zakelijke behoeften van de organisatie en de bescherming van persoonsgegevens.

Waarom is de DPIA belangrijk?

Een DPIA is niet alleen een wettelijke verplichting, maar ook een manier om grip te hebben op de eigen organisatie, en de risico’s die spelen bij nieuwe ontwikkelingen. Door het gedegen onderzoek verklein je de kans dat er iets mis gaat, en beperk je de gevolgen als dat toch gebeurt. Uiteindelijk draagt dit uiteraard weer bij aan het vertrouwen dat anderen hebben in jouw organisatie.

Bovendien helpt een goed uitgevoerde DPIA om juridische risico’s te minimaliseren. In het geval van een datalek of andere incidenten kunnen organisaties aantonen dat zij de juiste stappen hebben ondernomen om de risico’s te beoordelen en te beperken. Dit kan van grote waarde zijn bij mogelijke onderzoeken of rechtszaken.

Praktische stappen voor het uitvoeren van een DPIA

Het uitvoeren van een DPIA kan complex zijn, maar met de juiste aanpak en begeleiding door de FG kan het proces effectief verlopen. Hier zijn belangrijke zaken die je tijdens het opstellen van de DPIA documenteert:

Stap 1

Identificeer de noodzaak van een DPIA: Bepaal of de beoogde verwerking een hoog risico met zich meebrengt. Dit kan bijvoorbeeld het geval zijn bij grootschalige verwerking van bijzondere persoonsgegevens, monitoring van openbare ruimtes, of nieuwe technologieën. Er zijn precieze criteria vastgesteld door de AP in welke situaties een DPIA vereist is. Als je interesse hebt, dan kun je altijd even contact met ons opnemen.

Stap 2

Beschrijf de verwerking: wat is de aard, omvang, context, en doel van de gegevensverwerking. Wees niet te lichtvaardig met het beschrijven van het doel. Een verwerking, ingezet voor één doel, mag niet zo maar worden gebruikt voor een ander doel. Als je in de DPIA dus te beperkt bent, kan het goed zijn dat je de DPIA opnieuw moet uitvoeren als er een doel bij komt.

Stap 3

Beoordeel de juridische validatie. Denk hierbij aan het beoordelen of de doelomschrijving voldoende concreet en toetsbaar is omschreven (je mag immers alleen persoonsgegevens verwerken zolang nodig om het doel te bereiken of totdat je beseft dat het doel onbereikbaar is).

Maar ook moet je beschrijven op welke wijze wordt voldaan aan de rechtmatigheid van de verwerking en of de verwerking voldoet aan de principes van behoorlijkheid zoals benoemd in de AVG.

Ook moet je kijken naar de leveranciers die horen bij de verwerkingen, en eventuele subverwerkers of onderaannemers. Hoe heb je afspraken gemaakt, in welke landen zijn ze operationeel?

Stap 4

Identificeer en beoordeel risico’s: analyseer welke risico’s de verwerking met zich meebrengt voor de persoonsgegevens en de betrokkenen. Bepaal maatregelen waarmee je te hoge risico’s verder onder controle en naar een aanvaardbaar niveau kunt brengen.

Denk bijvoorbeeld aan:

• Technische risico’s
• Organisatorische risico’s, waaronder:
  • Beheer
  • Autorisatie
  • Management
  • Ingeschakelde leveranciers die niet onder controle zijn
• Juridische risico’s, zoals:
  • Onvoldoende transparantie naar betrokkenen
  • Onvoldoende doelmatigheid
  • Onvoldoende mogelijkheden om betrokkenen hun rechten te laten uitoefenen

Stap 5

Implementeer de maatregelen om de risico’s verder te mitigeren.

Stap 6

In organisaties waar een FG is aangesteld, moet de FG beoordelen of de DPIA op de juiste wijze is uitgevoerd, of de risico’s aanvaardbaar onder controle te krijgen zijn, en of er mogelijk aan de Autoriteit Persoonsgegevens om advies moet worden gevraagd.

Ook moet aan betrokkenen om een oordeel worden gevraagd, tenzij dat niet mogelijk is. Vaak kan wel de Ondernemingsraad, Ouderraad of Cliëntenraad om een mening gevraagd worden.

Stap 7

Documenteer en evalueer: Leg de resultaten van de DPIA vast en zorg ervoor dat deze periodiek wordt geëvalueerd.

Vergeet ook niet dat er wellicht maatregelen nog geïmplementeerd moesten worden op het moment van vastleggen van de DPIA; er moet dan op de juiste momenten worden gecontroleerd (voordat de verwerking begint!) of de maatregelen voldoende zijn geïmplementeerd én ook de risico’s naar een aanvaardbaar niveau hebben gemitigeerd. Dit was namelijk juist één van de belangrijkste redenen om een DPIA uit te voeren: het onder controle brengen van risico’s.

Veel gestelde vragen

Conclusie

Een DPIA is een belangrijk onderdeel van het privacy management van elke organisatie die persoonsgegevens verwerkt. Het biedt niet alleen een manier om wettelijke verplichtingen na te komen, maar vooral ook om grip te houden op de risico’s. Uiteindelijk verhogen DPIA’s het vertrouwen van klanten en partners in de organisatie. De Functionaris Gegevensbescherming kan hierbij een centrale rol spelen, door het proces te begeleiden en te zorgen voor een evenwicht tussen privacybescherming en de bedrijfsdoelstellingen.

Door het belang van een goede DPIA te begrijpen en te zorgen voor een nauwe samenwerking met de FG, kunnen organisaties proactief omgaan met privacy risico’s en hun verantwoordelijkheden onder de AVG op een verantwoorde manier nakomen.

Ondersteuning en begeleiding speciaal voor jou als Functionaris Gegevensbescherming!

In de afgelopen jaren hebben we gemerkt dat Functionarissen voor Gegevensbescherming (FG’s) zich prettig en zeker voelen wanneer ze de mogelijkheid hebben om te overleggen met andere privacy-experts. Dit biedt niet alleen nieuwe inzichten en een frisse kijk op zaken, maar het versterkt ook het vertrouwen in de adviezen die ze verstrekken.

Met onze diepgaande kennis, ervaring in privacy & security en onze expertise in het opstellen van DPIA’s, zijn we de ideale partner om jou als FG te ondersteunen.

Bespreek met ons de voordelen van een sparring partner FG!

Lees ook: