15 september 2026 · gemeenten en woningcorporaties · leestijd 7 minuten

Wanneer is een DPIA verplicht? De lijst van de AP en de negen criteria, toegepast op de wijk

"Moeten we hier een DPIA voor doen?" is de vraag die elke privacy officer wekelijks krijgt. Het antwoord staat op twee plekken: de lijst van verplichte DPIA's van de Autoriteit Persoonsgegevens en de negen criteria van de Europese toezichthouders. Beide zijn korter dan hun reputatie. Hieronder staan ze, met voorbeelden uit de praktijk van gemeenten en corporaties.

De wet: artikel 35

Artikel 35 AVG verplicht een gegevensbeschermingseffectbeoordeling vóór een verwerking die "waarschijnlijk een hoog risico" inhoudt voor de rechten en vrijheden van mensen, gelet op aard, omvang, context en doel. Drie gevallen noemt de wet zelf: systematische en uitgebreide beoordeling van persoonlijke aspecten met rechtsgevolgen (profilering), grootschalige verwerking van bijzondere of strafrechtelijke gegevens, en stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten. De nationale toezichthouder moet daar een lijst aan toevoegen; de AP deed dat in 2019.

De lijst van de AP (Stcrt. 2019, 64418)

Zeventien soorten verwerkingen waarvoor een DPIA in Nederland verplicht is. De meeste gelden alleen als de verwerking grootschalig is of stelselmatige monitoring inhoudt. Voor gemeenten en corporaties zijn dit de relevante:

• Samenwerkingsverbanden. Het delen van persoonsgegevens in een samenwerkingsverband, bijvoorbeeld voor de aanpak van woonoverlast, zorg en veiligheid of schulden. Deze categorie kent geen drempel: elk samenwerkingsverband dat gegevens deelt, valt eronder.
• Gezondheidsgegevens, grootschalig verwerkt. Denk aan het wijkteam, maar ook aan vrije tekst in meldingen waarin verslaving of psychische problematiek wordt genoemd.
• Cameratoezicht en locatiegegevens bij grootschalige of stelselmatige inzet: camera's op pleinen, wifi- of bluetoothsensoren, kentekenregistratie, maar ook camera's in portieken van corporaties.
• Zwarte lijsten, zonder drempel: een lijst van huurders die geweigerd worden, of van personen met een gebiedsverbod.
• Financiële situatie, grootschalig: betalingsachterstanden en incasso bij een corporatie, schuldhulp bij een gemeente.
• Internet of things: slimme meters, sensoren in woningen, slimme sloten.
• Fraudebestrijding, controle van werknemers, communicatiegegevens, heimelijk onderzoek, elk bij grootschaligheid of stelselmatige monitoring.

De negen criteria van de Europese toezichthouders (WP248)

Staat een verwerking niet op de lijst, dan gelden de negen criteria uit de richtsnoeren WP248 van de Artikel 29-werkgroep, overgenomen door de EDPB. Voldoet een verwerking aan twee of meer criteria, dan is een DPIA in de regel vereist; bij één criterium moet de keuze om er geen te doen worden gemotiveerd en vastgelegd.

1. Evaluatie of scoretoekenning, waaronder profilering
2. Geautomatiseerde besluitvorming met rechtsgevolg of vergelijkbaar effect
3. Stelselmatige monitoring
4. Gevoelige gegevens of gegevens van zeer persoonlijke aard
5. Op grote schaal verwerkte gegevens
6. Matching of samenvoeging van datasets
7. Kwetsbare betrokkenen
8. Innovatief gebruik of toepassing van nieuwe technologie
9. De betrokkene kan een recht niet uitoefenen of een dienst niet afnemen

Drie voorbeelden

Een app voor meldingen woonoverlast (gemeente). Inwoners melden overlast; team Wonen handelt af; wijkteam en corporatie kijken per melding mee; in de vrije tekst komen gezondheidsgegevens voor. Op de AP-lijst: samenwerkingsverband (geen drempel) en, bij enkele honderden meldingen per jaar met gezondheidsgegevens, mogelijk de categorie gezondheid. Criteria: gevoelige gegevens, kwetsbare betrokkenen, samenvoeging van bronnen. Uitkomst: DPIA verplicht, en waarschijnlijk ook een convenant over rollen en grondslagen.

Sensoren en camera's op een plein (gemeente). Beelden met beeldanalyse en wifi-sensoren om drukte te meten. Artikel 35 lid 3 zelf: stelselmatige en grootschalige monitoring van openbare ruimte. Op de lijst: cameratoezicht en locatiegegevens. Criteria: monitoring, grote schaal, nieuwe technologie. Uitkomst: DPIA verplicht; en als het restrisico hoog blijft, bijvoorbeeld omdat beelden en wifi-hashes samen personen herleidbaar maken, voorafgaande raadpleging van de AP (artikel 36).

Een huurdersportaal (corporatie). Contract, betalingen, betalingsachterstanden en reparatieverzoeken voor negenduizend huurders; een chatfunctie bij een leverancier. Op de lijst: financiële situatie, grootschalig. Criteria: gevoelige gegevens (financieel), grote schaal, kwetsbare betrokkenen bij betalingsachterstand, samenvoeging van ERP-, reparatie- en incassosysteem. Uitkomst: DPIA verplicht.

Wat de DPIA minimaal moet bevatten

Artikel 35 lid 7 noemt vier onderdelen: een systematische beschrijving van de verwerkingen en doeleinden, een beoordeling van noodzaak en evenredigheid, een beoordeling van de risico's voor betrokkenen, en de maatregelen om die risico's aan te pakken. Daar komen bij: het advies van de functionaris gegevensbescherming (lid 2), de mening van betrokkenen of hun vertegenwoordigers waar dat passend is (lid 9), en herziening bij verandering van het risico (lid 11). Voor Nederlandse overheden geeft het Rapportagemodel DPIA Rijksdienst dit een vaste vorm in zeventien paragrafen; ook corporaties kunnen dat model gebruiken.

Drie fouten die we vaak zien

• De DPIA na de aanbesteding. Artikel 35 zegt "vóór de verwerking". Een DPIA die pas wordt geschreven als het contract getekend is, kan de inrichting niet meer beïnvloeden.
• Risico's zonder restrisico. Een tabel met risico's en maatregelen, maar geen conclusie over wat er na de maatregelen overblijft. Juist die conclusie bepaalt of de AP vooraf geraadpleegd moet worden.
• Nooit herzien. Een DPIA uit 2019 voor een systeem dat sindsdien twee leveranciers en een koppeling verder is. Leg in de DPIA vast wanneer en door wie zij wordt herzien.

Wat Datavoogd hiermee doet

De wegwijzer van Datavoogd stelt de vragen achter de lijst en de negen criteria en zegt of een DPIA verplicht is, te overwegen is of niet nodig is, met de categorie of het criterium erbij. Is er een DPIA, dan toetst Datavoogd die tegen artikel 35 en 36 en de criteria van WP248: is de beschrijving systematisch, zijn rechtsgrond en uitzonderingsgronden benoemd, hebben risico's een kans en een ernst, hebben maatregelen een eigenaar en een restrisico, is de functionaris gegevensbescherming gehoord. Is er nog geen DPIA, dan vult Datavoogd het Rijksmodel in als concept. De beoordeling blijft bij de functionaris gegevensbescherming.

Bronnen

• Verordening (EU) 2016/679 (AVG), artikel 35 en 36.
• Autoriteit Persoonsgegevens, Besluit inzake de lijst van verwerkingen van persoonsgegevens waarvoor een gegevensbeschermingseffectbeoordeling verplicht is, Staatscourant 2019, 64418.
• Artikel 29-werkgroep, Richtsnoeren voor gegevensbeschermingseffectbeoordelingen (WP248 rev.01), overgenomen door de EDPB.
• Ministerie van BZK, Rapportagemodel DPIA Rijksdienst, versie 3.0 (2023) en Model DPIA Rijksdienst (2026), via kcbr.nl.

Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.