Staat vast dat een verwerking een DPIA nodig heeft, dan begint het echte werk: de gegevensbeschermingseffectbeoordeling zelf. Artikel 35 AVG schrijft de minimale inhoud voor, maar laat de vorm vrij. Dit stappenplan vertaalt die eisen naar zes uitvoerbare stappen, bruikbaar voor elke organisatie en elk type verwerking.
Stap 1: beschrijf de verwerking systematisch
Begin met een feitelijke beschrijving: welke persoonsgegevens worden verwerkt, van welke betrokkenen, voor welke doeleinden, met welke systemen en leveranciers, wie ontvangt de gegevens en hoe lang worden ze bewaard? Als het verwerkingsregister (art. 30) op orde is, staat het merendeel hiervan er al; de DPIA verdiept die beschrijving waar nodig.
Stap 2: toets noodzaak en evenredigheid
Beantwoord de vraag of de verwerking het doel rechtvaardigt: is er een geldige grondslag, kan het doel met minder of minder gevoelige gegevens worden bereikt (dataminimalisatie), en staan de bewaartermijnen in verhouding? Dit is de stap die in de praktijk het vaakst wordt overgeslagen, terwijl een toezichthouder er juist op doorvraagt.
Stap 3: betrek de FG, en waar passend de betrokkenen
De AVG verplicht om het advies van de functionaris gegevensbescherming in te winnen (art. 35 lid 2). Leg dat advies vast, ook wanneer u ervan afwijkt, mét de reden. Waar passend vraagt u ook betrokkenen of hun vertegenwoordigers om hun mening, bijvoorbeeld via een ondernemingsraad of cliëntenraad.
Stap 4: breng de risico’s voor betrokkenen in kaart
Beoordeel per risico wat er voor de betrokkene kan misgaan: onrechtmatige toegang, verlies, ongewenste profilering, discriminatie of het niet kunnen uitoefenen van rechten. Werk elk risico uit met een inschatting van kans en impact, net als in het reguliere risicoregister. Dat maakt de risico’s vergelijkbaar en de prioriteit uitlegbaar.
Stap 5: bepaal maatregelen en beoordeel het restrisico
Koppel aan elk relevant risico maatregelen: technisch (versleuteling, toegangsbeheer, pseudonimisering), organisatorisch (autorisaties, training, contracten) of in het ontwerp van de verwerking zelf. Beoordeel daarna het restrisico dat overblijft. Is dat restrisico hoog, dan mag de verwerking niet starten zonder voorafgaande raadpleging van de Autoriteit Persoonsgegevens (art. 36 AVG).
Stap 6: leg vast, laat vaststellen en plan de herbeoordeling
Bundel de beschrijving, de afwegingen, de risico’s, de maatregelen en het restrisico-oordeel in één document, laat het vaststellen door de verantwoordelijke en registreer het bij de verwerking. Plan direct een herbeoordelingsdatum: wijzigt de verwerking wezenlijk, dan moet de DPIA opnieuw. Zo wordt de DPIA een levend onderdeel van het register in plaats van een eenmalig rapport.
Veelgemaakte fouten
- De DPIA pas starten als het systeem al is gekocht of gebouwd: dan zijn de belangrijkste ontwerpkeuzes niet meer te beïnvloeden.
- Risico’s voor de organisatie beschrijven in plaats van risico’s voor de betrokkenen; de DPIA gaat over de mensen van wie de gegevens zijn.
- Het document afronden en nooit meer herzien, terwijl de verwerking doorontwikkelt.
Zo werkt het in Normio
In het verwerkingsregister van Normio doorloopt u de triggercheck, legt u de beoordeling met motivering vast, landen de risico’s voor betrokkenen in het centrale risicoregister met kans × impact, en registreert u het FG-advies en het restrisico-oordeel. Het printklare DPIA-rapport bundelt alles per verwerking.