Data protection impact assessment

Een data protection impact assessment (DPIA) is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen en te beoordelen. Door het uitvoeren van een DPIA kunnen organisaties proactief anticiperen op mogelijke risico's en zorgen voor een effectieve bescherming van de rechten en vrijheden van natuurlijke personen. Een DPIA wordt ook wel een 'gegevensbeschermingseffectbeoordeling' (GEB) genoemd.

Organisaties moeten een DPIA uitvoeren wanneer een gegevensverwerking waarschijnlijk "een hoog risico" inhoudt voor de rechten en vrijheden van natuurlijke personen.

De verplichting om een DPIA uit te voeren is vastgelegd in verschillende wettelijke kaders, waaronder:

In richtsnoeren voor gegevensbeschermingseffectbeoordelingen zijn negen criteria vermeld die in aanmerking moeten worden genomen bij de beoordeling of een gegevensbeschermingseffectbeoordeling (DPIA) moet worden uitgevoerd:

  1. Evaluatie of scoretoekenning
  2. Geautomatiseerde besluitvorming met rechtsgevolg of vergelijkbaar wezenlijk gevolg
  3. Stelselmatige monitoring
  4. Gevoelige gegevens of gegevens van zeer persoonlijke aard
  5. Op grote schaal verwerkte gegevens
  6. Matching of samenvoeging van datasets
  7. Gegevens met betrekking tot kwetsbare betrokkenen
  8. Innovatief gebruik of innovatieve toepassing van nieuwe technologische of organisatorische oplossingen
  9. de situatie waarin als gevolg van de verwerking zelf "betrokkenen [...] een recht niet kunnen uitoefenen of geen beroep kunnen doen op een dienst of een overeenkomst";

Een PIA (privacy-effect-beoordeling) is een bredere beoordeling van privacy-impact, terwijl een DPIA specifiek gericht is op het beoordelen van het risico met betrekking tot de verwerking van persoonsgegevens, vaak in overeenstemming met wettelijke vereisten. Beide instrumenten zijn bedoeld om ervoor te zorgen dat organisaties de privacy van individuen respecteren en beschermen.

Zie ook