Een DPIA is een risicoanalyse die je maakt voordat je aan een privacygevoelige verwerking begint. Hij is verplicht zodra die verwerking waarschijnlijk een hoog risico oplevert voor de mensen van wie je de gegevens gebruikt, en de Autoriteit Persoonsgegevens heeft vastgelegd in welke gevallen dat in elk geval zo is.
Voor een CISO of security manager is het meer dan een privacyformulier. Bijna elke DPIA leunt op beveiligingsmaatregelen die jouw team moet leveren. En wie hem schrijft, bepaalt of hij iets waard is.
Wat is een DPIA?
DPIA staat voor data protection impact assessment. In de Nederlandse tekst van de AVG heet het een gegevensbeschermingseffectbeoordeling. Artikel 35 van de AVG verplicht de verwerkingsverantwoordelijke om vooraf te beoordelen wat een verwerking met een waarschijnlijk hoog risico betekent voor de bescherming van persoonsgegevens. Eén DPIA mag een reeks vergelijkbare verwerkingen met vergelijkbare risico's afdekken. Dat scheelt werk als je hetzelfde systeem op meerdere locaties uitrolt.
Wat erin moet, staat in hetzelfde artikel. Je beschrijft de verwerking en de doelen. Je toetst of de verwerking noodzakelijk en evenredig is. Je beoordeelt de risico's voor de mensen om wie het gaat, en je legt vast met welke maatregelen je die risico's aanpakt. Bij dat laatste horen ook de beveiligingsmaatregelen. Daar kom jij als securityverantwoordelijke in beeld.
Wanneer is een DPIA verplicht?
De AVG noemt drie situaties waarin een DPIA in elk geval nodig is. De eerste is een systematische en uitgebreide beoordeling van mensen op basis van geautomatiseerde verwerking, zoals profilering, als je daar besluiten op baseert met rechtsgevolgen of vergelijkbaar ingrijpende gevolgen. De tweede is grootschalige verwerking van bijzondere persoonsgegevens, zoals gezondheidsgegevens, of van strafrechtelijke gegevens. De derde is stelselmatige en grootschalige monitoring van openbare ruimtes.
Daarnaast stelt elke nationale toezichthouder een eigen lijst op. De Autoriteit Persoonsgegevens (AP) deed dat in 2019 met het besluit over verwerkingen waarvoor een DPIA verplicht is. Op die lijst staan 17 soorten verwerkingen. Een greep uit wat je in de praktijk vaak tegenkomt: fraudebestrijding, creditscores, cameratoezicht, locatiegegevens, profilering, biometrische gegevens en controle van werknemers. Bij dat laatste noemt de AP bijvoorbeeld het monitoren van e-mail- en internetgebruik en het volgen van bedrijfsauto's met gps.
Let op: de lijst is niet uitputtend. Staat jouw verwerking er niet op, dan kan een DPIA toch verplicht zijn als de aard, omvang, context en doelen een hoog risico meebrengen. De AP heeft bij elk punt op de lijst aangegeven welke van negen Europese criteria meespelen. Denk aan evaluatie of scoring van mensen, stelselmatige monitoring, gevoelige gegevens, grootschalige verwerking, het combineren van datasets, kwetsbare betrokkenen en nieuwe technologie. Mijn advies: raakt je verwerking meer dan één van die criteria, ga er dan van uit dat je een DPIA doet.
Wat als het risico hoog blijft?
Blijkt uit de DPIA dat er zonder extra maatregelen een hoog risico overblijft, dan moet je de AP raadplegen voordat je begint. Dat staat in artikel 36 van de AVG. Vindt de AP dat de verwerking in strijd is met de AVG, dan geeft ze binnen acht weken schriftelijk advies. Bij een ingewikkelde verwerking mag ze daar zes weken bij doen.
Reken die termijn mee in je projectplanning. Een DPIA die pas in de week voor livegang klaar is en op een voorafgaande raadpleging uitkomt, kost je tot veertien weken extra.
Een DPIA is ook nooit echt af. De verwerkingsverantwoordelijke moet toetsen of de verwerking nog loopt zoals in de DPIA beschreven, in elk geval als het risico verandert. Nieuwe leverancier, extra databron, een koppeling met een AI-model: dan pak je hem er opnieuw bij.
Sla je een verplichte DPIA over, dan riskeer je een boete. Voor overtredingen van onder meer artikel 35 en 36 gaat het maximum in artikel 83 van de AVG tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, als dat hoger is.
Wie voert een DPIA uit?
De AVG legt de DPIA bij de verwerkingsverantwoordelijke, dus bij de organisatie zelf. Heb je een functionaris gegevensbescherming (FG), dan moet je zijn advies inwinnen. De FG adviseert over de DPIA en houdt toezicht op de uitvoering, zo staat het in artikel 39. Werkt een leverancier als verwerker voor je, dan moet die je volgens artikel 28 helpen met de DPIA. Vraag dus vroeg om zijn informatie over hosting, toegang en beveiliging.
Mijn mening: de eigenaar van de verwerking schrijft de DPIA. Dat is de proceseigenaar of productowner die de verwerking wil. Een privacy officer begeleidt en bewaakt de methode. Iemand die het systeem technisch kent, vult de risico's en maatregelen in, vaak een security architect of de applicatiebeheerder. De FG toetst daarna.
Een FG die de DPIA zelf schrijft, beoordeelt vervolgens zijn eigen werk. Europese toezichthouders zien dat ook als risico. In het rapport van de Europese privacytoezichthouders (EDPB) uit januari 2024 over de positie van de FG staat het opstellen van DPIA's door de FG zelf tussen de voorbeelden van mogelijke belangenconflicten. Waarom ik die rollen bij de overheid uit elkaar zou halen, lees je in FG of privacy officer? Splits die rollen.
De EDPB denkt in dezelfde richting. In april 2026 bracht het een DPIA-template in consultatie waarin je ook vastlegt welk team de DPIA uitvoert en wie welke rol heeft. Gebruik van dat template is niet verplicht. Je eigen methode mag blijven.
Hoe pak je een DPIA aan?
- Toets vroeg in het project of een DPIA nodig is: valt de verwerking onder artikel 35 lid 3, staat hij op de AP-lijst, of raakt hij meerdere criteria?
- Beschrijf de verwerking: welke gegevens, van wie, waarvoor, in welke systemen en bij welke leveranciers.
- Toets noodzaak en evenredigheid. Kan het met minder gegevens, of op een andere manier?
- Breng de risico's in kaart voor de mensen van wie de gegevens zijn. Het risico voor je organisatie is een andere vraag.
- Leg de maatregelen vast, inclusief beveiliging, en bepaal welk restrisico overblijft.
- Vraag het advies van de FG en leg vast wat je ermee doet.
- Blijft het restrisico hoog, raadpleeg dan de AP voordat je start.
Bij algoritmes in de publieke sector komt de DPIA vaak samen met de IAMA, de mensenrechtentoets voor algoritmes. Hoe die twee zich tot elkaar verhouden, lees je in mijn stuk over de IAMA.
Geen capaciteit voor DPIA's?
Ligt er een stapel DPIA's en heeft niemand er tijd voor? Een interim privacy officer kan de achterstand wegwerken en een werkwijze neerzetten die je eigen mensen daarna zelf draaien. Welke profielen er zijn, van privacy officer tot FG, staat op onze pagina over privacy officers en FG's inhuren. Freelance specialisten vinden we via MVPeople. Twijfel je of je verwerking een DPIA nodig heeft, of wie hem moet schrijven? Bel of mail me.
