Wie doet wat
Artikel 35 lid 2 AVG is duidelijk: de verwerkingsverantwoordelijke voert de DPIA uit en wint daarbij het advies in van de functionaris gegevensbescherming. In de praktijk betekent dat: de proceseigenaar, privacy officer of projectleider vult de DPIA in, met hulp van ICT, informatiebeveiliging en de leverancier. De functionaris gegevensbescherming adviseert en toetst, maar schrijft hem niet zelf.
Dat onderscheid is geen formaliteit. De Europese toezichthouders en de AP wijzen erop dat een functionaris die zijn eigen werk beoordeelt, niet meer onafhankelijk is. Zie wat onderzoek zegt over de functionaris gegevensbescherming.
Stap 1: beschrijf de verwerking
Het model begint met een feitelijke beschrijving: welk proces, welke gegevens, van wie, hoeveel mensen, hoe lang, met welke systemen en welke partijen. Dit is het deel dat het vaakst te vaag blijft. "Persoonsgegevens van huurders" is geen beschrijving; een opsomming per soort gegeven wel, met aparte vermelding van bijzondere persoonsgegevens, strafrechtelijke gegevens en het BSN.
Tip: haal deze gegevens uit uw verwerkingsregister en schrijf ze daarna terug. Zo blijven de twee documenten gelijk.
Stap 2: beschrijf de gegevensstromen
Teken wie de gegevens invoert, wie ze inziet, waar ze staan, met wie ze worden gedeeld en wat er naar buiten de EER gaat. Een simpele tekening met pijlen doet hier meer dan drie pagina's tekst. Vergeet de back-up, het testsysteem en de supportmedewerker van de leverancier niet.
Stap 3: leg de grondslag en het doel vast
Per doel één grondslag uit artikel 6 AVG, en bij bijzondere gegevens een uitzondering uit artikel 9. Voor gemeenten is dat meestal een wettelijke plicht of een taak van algemeen belang; dan hoort erbij welke wet of verordening dat is. Voor corporaties is het vaker de overeenkomst of een gerechtvaardigd belang; bij dat laatste hoort een afweging op papier.
Stap 4: toets noodzaak en evenredigheid
Drie vragen die het model stelt en die de kern zijn van de hele DPIA: kan het doel ook met minder gegevens, met een minder ingrijpend middel, of met een kortere bewaartermijn? Als het antwoord drie keer nee is, schrijf dan op waarom. Als het antwoord één keer ja is, pas het plan aan. Een DPIA die alleen maatregelen opsomt maar deze vraag overslaat, is niet af.
Stap 5: benoem de risico's voor de betrokkenen
Let op het perspectief: het gaat om risico's voor de mensen in het systeem, niet om risico's voor de organisatie. Denk aan een huurder die door een fout in een overlastdossier zijn woning kwijtraakt, of een inwoner die verkeerd wordt aangemerkt in een risicomodel. Beschrijf per risico de kans en de gevolgen. De boetes voor tien gemeenten in 2026 gingen precies hierover: gegevens over religie, gebruikt zonder grondslag. Zie tien gemeenten, tien boetes.
Stap 6: kies maatregelen en bepaal het restrisico
Per risico: welke maatregel, wie voert hem uit, wanneer, en wat blijft er daarna over? Maatregelen zijn concreet ("alleen medewerkers van team X hebben toegang, met tweefactorauthenticatie, gecontroleerd via logging") of ze zijn niets. Het restrisico bepaalt wat er daarna gebeurt.
Stap 7: blijft er een hoog risico over? Dan naar de AP
Artikel 36 AVG vraagt om voorafgaande raadpleging van de Autoriteit Persoonsgegevens als uit de DPIA blijkt dat de verwerking een hoog risico oplevert dat u niet kunt beperken. De AP reageert in beginsel binnen acht weken, met een mogelijke verlenging van zes weken. Reken daar dus op in de planning van het project. In de meeste gevallen is dit niet nodig, maar u moet de afweging wel maken en opschrijven.
Stap 8: vaststellen, en daarna bijhouden
De DPIA wordt vastgesteld door degene die over de verwerking gaat, met het advies van de functionaris gegevensbescherming erbij. Wordt dat advies niet gevolgd, leg dan vast wie dat besloot en waarom: zonder motivering kunt u niet aantonen dat u de AVG naleeft. Zet een herzieningsmoment in de agenda, en herzie in elk geval bij een nieuwe koppeling, een nieuwe leverancier of een nieuw soort gegevens.
Veelgemaakte fouten
- De DPIA wordt geschreven als het systeem al is gekocht. Dan is hij een verantwoording achteraf, terwijl artikel 35 "voorafgaand aan de verwerking" zegt.
- De leverancier levert de DPIA aan. Dat mag als vertrekpunt, maar de afweging is van u; de leverancier kent uw doel en uw grondslag niet.
- Risico's voor de organisatie in plaats van voor de betrokkenen.
- Maatregelen zonder eigenaar en zonder datum.
Wat Datavoogd hiermee doet
Datavoogd toetst een DPIA aan 21 regels uit artikel 35 en 36 AVG, de richtsnoeren WP248 en de AI-verordening, en signaleert per regel wat ontbreekt of te vaag is, met een citaat uit uw document. Datavoogd kan ook een concept opstellen op het Rapportagemodel DPIA Rijksdienst, dat daarna direct wordt getoetst. Opstellen doet de privacy officer of proceseigenaar; de functionaris gegevensbescherming beoordeelt en beslist. Zie het voorbeeldrapport.
Bronnen
- Verordening (EU) 2016/679 (AVG), artikel 35 en 36.
- CIO Rijk/BZK, Rapportagemodel DPIA Rijksdienst, versie 3.0 (2023).
- EDPB (WP29), Richtsnoeren WP248 rev.01 over gegevensbeschermingseffectbeoordelingen.
- Autoriteit Persoonsgegevens, Sectorbeeld Overheid 2024.
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.