05-12-2019

De Autoriteit Persoonsgegevens heeft recent een besluit gepubliceerd dat ziet op de vraag wanneer een gegevensbeschermingseffectbeoordeling (data protection impact assessment, hierna: DPIA) verplicht is. Wat is een DPIA? En voor welke verwerkingen is deze verplicht?

AVG-besluit over gegevensbeschermingseffectbeoordeling gepubliceerd

De Autoriteit Persoonsgegevens heeft recent een besluit gepubliceerd dat ziet op de vraag wanneer een gegevensbeschermingseffectbeoordeling (data protection impact assessment, hierna: DPIA) verplicht is. Wat is een DPIA? En voor welke verwerkingen is deze verplicht?

DPIA

Op het moment dat bij een bepaalde verwerking van persoonsgegevens een groot risico bestaat voor de rechten en vrijheden van personen moet een DPIA worden uitgevoerd. Hiermee wordt beoordeeld wat het effect is van de beoogde verwerkingsactiviteit op de bescherming van persoonsgegevens.

Een van de gevallen waarin een DPIA is vereist, wordt in de AVG omschreven als:

‘een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor de natuurlijke persoon rechtsgevolgen zijn verbonden of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen.’

Het besluit

Het mag duidelijk zijn dat met deze tekst niet duidelijk is wanneer een DPIA precies verplicht is. Daarom heeft de Autoriteit nu een besluit gepubliceerd waarin duidelijk wordt gemaakt voor welke soorten verwerkingen een DPIA verplicht is.

Het besluit met daarin de lijst is te vinden via deze link. Voorbeelden uit deze lijst zijn het doen van onderzoek in het kader van fraudebescherming en heimelijk cameratoezicht door werkgevers in het kader van diefstal- of fraudebestrijding.

Hoe kan een DPIA uitgevoerd worden?

Een DPIA kan op verschillende manieren worden uitgevoerd, zo lang maar wordt voldaan aan de voorwaarden die de Autoriteit Persoonsgegevens hieraan stelt.

Vragen over de DPIA?

Neem contact op met medewerkers van het AVG-team. 

Maud Saes

m.saes@gca.nl 

0493 352070

Marjolein Kerkhofs

marjolein@rechtdirect.nl

0493 326688

Bij het samenstellen van dit artikel/deze nieuwsbrief is geen rekening gehouden met eventuele bijzondere van toepassing zijnde wetgeving en afspraken zoals opgenomen in de CAO en/of (arbeids)overeenkomst. Daarbij is rekening gehouden met de wetgeving die op het moment van het schrijven van de tekst geldend is. Het kan dus zijn dat, met de veranderende wetgeving, de inhoud later achterhaald is. Mocht je de informatie in de praktijk willen hanteren, neem dan van tevoren even contact op met een van de juristen van Recht-Direct zodat zij je goed kunnen informeren.