DPIA & Privacy Impact Assessment

Een Data Protection Impact Assessment (DPIA) is een gestructureerd proces dat vereist is op grond van AVG-artikel 35 voor verwerkingsactiviteiten die hoge risico's voor de persoonlijke gegevens van individuen met zich meebrengen. Een DPIA legt de aard, reikwijdte, context en doeleinden van de verwerking vast; beoordeelt de noodzaak, evenredigheid en nalevingsmaatregelen; identificeert en beoordeelt risico's voor de rechten en vrijheden van betrokkenen; en specificeert maatregelen om deze risico's aan te pakken (veiligheidscontroles, pseudonimisering, gegevensminimalisering, bewaarlimieten). Ondersteunende middelen zijn onder meer gegevensstroomkaarten (hoe persoonlijke gegevens zich door systemen en over grenzen heen verplaatsen), beoordelingen van legitieme belangen en registers van externe verwerkers.

DPIA’s zijn wettelijk verplicht op grond van artikel 35 van de AVG voor verwerking die waarschijnlijk een hoog risico voor individuen met zich meebrengt – inclusief systematische profilering, grootschalige verwerking van speciale categorieën gegevens en systematische monitoring van publiek toegankelijke gebieden. Het niet uitvoeren van een vereiste DPIA kan resulteren in wettelijke sancties en getuigt van een gebrek aan verantwoordelijkheid – een belangrijk AVG-principe. Naast naleving van de wet tonen DPIA’s aan toezichthouders en betrokkenen aan dat de organisatie systematisch privacyrisico’s heeft overwogen en aangepakt. Ze worden ook steeds vaker vereist door niet-EU-privacywetten (Braziliaanse LGPD, UK GDPR, California CPRA) en door verzekeringsmaatschappijen als bewijs van privacyrisicobeheer.

Volledige DPIA-rapporten bestrijken de volledige beoordeling: verwerkingsbeschrijving, beoordeling van noodzaak en evenredigheid, risico-identificatie, overlegverslagen (met functionaris voor gegevensbescherming en, indien nodig, toezichthoudende autoriteit) en risicobeperkende maatregelen. Gegevensstroomkaarten en inventarissen laten zien hoe persoonlijke gegevens zich door systemen, over de grenzen heen en tussen verwerkers verplaatsen – ter ondersteuning van de registratie van verwerkingsactiviteiten (ROPA) en de gereedheid voor melding van inbreuken. Gerechtvaardigde belangenbeoordelingen (LIA's) zijn driedelige beoordelingen die vereist zijn voor verwerking, waarbij wordt vertrouwd op legitiem belang als de wettelijke basis onder artikel 6, lid 1, onder f van de AVG. Registers van externe verwerkers houden alle gegevensverwerkers en subverwerkers bij, inclusief de status van de gegevensverwerkingsovereenkomst (DPA), de overdrachtsmechanismen en de locatie – vereist voor voortdurende AVG-verantwoording.

DPIan-middelen, datastroomkaarten en processorregisters worden geüpload naar Sustalium en gekoppeld aan de relevante privacy-compliance-frameworks. Privacybewijs is gekoppeld aan AVG-nalevingsregistraties, procedures voor de rechten van betrokkenen en protocollen voor melding van inbreuken. Sustalium houdt de beoordelingsschema's van DPIA's bij - DPIA's moeten worden beoordeeld wanneer de verwerkingsactiviteiten aanzienlijk veranderen - en markeert verlopende DPIA's voor herbeoordeling. Verwerkersregisters zijn gekoppeld aan inkoopgegevens, zodat nieuwe verwerkersopdrachten automatisch leiden tot DPIA-beoordelingsvereisten. Voor organisaties die in meerdere rechtsgebieden actief zijn, brengt Sustalium de privacy-compliancevereisten in kaart met de toepasselijke nationale implementaties van de AVG en andere privacywetten.

De AVG is het primaire raamwerk: artikel 35 vereist DPIA's, artikel 30 vereist registraties van verwerkingsactiviteiten, artikel 32 vereist geregistreerde beveiligingsmaatregelen en artikel 33 vereist geregistreerde procedures voor melding van inbreuken. De EU AI Act vereist DPIA-achtige effectbeoordelingen voor AI-systemen met een hoog risico. DORA vereist ICT-risicobeoordelingen die overlappen met het in kaart brengen van DPIA-gegevensverwerking. De ePrivacy-richtlijn vereist privacybeoordelingen voor de verwerking van elektronische communicatie. Niet-EU-privacywetten, waaronder de Britse AVG, de Braziliaanse LGPD, de Californische CPRA en de Chinese PIPL, hebben allemaal DPIA- of gelijkwaardige vereisten. ISO 27701 (privacy-informatiebeheer) vereist geregistreerde privacy-impactbeoordelingsprocessen.