DPIA uitvoeren: wanneer verplicht en hoe pak je het aan

Een DPIA, voluit een gegevensbeschermingseffectbeoordeling, is een verplichte risicoanalyse die je doet voordat je begint met een gegevensverwerking met een hoog privacyrisico. Veel ondernemers schrikken van de term, maar de kern is eenvoudig: je brengt vooraf in kaart welke risico's een verwerking heeft voor de mensen om wie het gaat, en welke maatregelen je neemt. Het is geen formaliteit achteraf, maar een hulpmiddel om problemen te voorkomen.

In dit artikel lees je wanneer een DPIA verplicht is, welke stappen je doorloopt, wie erbij betrokken zijn en welke fouten je beter vermijdt. Aan het eind heb je een werkbaar beeld om er zelf een te starten of de juiste vragen te stellen.

Wat een DPIA is en waarom hij bestaat

De AVG verplicht een DPIA wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. Het doel is om risico's vroeg te zien en aan te pakken, voordat de verwerking start. Zo voorkom je datalekken, klachten en boetes, en laat je zien dat je zorgvuldig omgaat met gegevens.

De boetes onder de AVG kunnen hoog oplopen, tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet. Voor het MKB is de praktijk meestal milder, maar het laat zien dat de wetgever privacy serieus neemt. Koppel je DPIA aan je bredere aanpak met de AVG-checklist.

Wanneer is een DPIA verplicht

Niet elke verwerking vraagt een DPIA. Hij is verplicht bij een hoog risico. De Autoriteit Persoonsgegevens en de Europese toezichthouders hebben criteria opgesteld. Als je verwerking aan 2 of meer van deze criteria voldoet, is een DPIA vrijwel altijd nodig.

Twijfel je of je verwerking eronder valt, doe dan eerst een korte voorafgaande check. Voldoe je aan 2 of meer criteria, dan voer je een volledige DPIA uit. Bij 1 criterium is het verstandig om het alsnog te overwegen. Zet AI in bij het verwerken van persoonsgegevens? Lees dan ook AI en AVG, want geautomatiseerde besluiten vragen extra aandacht.

Het stappenplan in zes stappen

Een DPIA volgt een vaste structuur. Je hoeft geen jurist te zijn om hem te starten, maar betrek wel de juiste mensen.

1. Beschrijf de verwerking. Leg vast welke gegevens je verwerkt, van wie, met welk doel en met welke systemen en leveranciers.

1. Beoordeel de noodzaak. Is de verwerking echt nodig voor je doel, en kan het ook met minder gegevens? Dataminimalisatie is een kernprincipe.

1. Breng de risico's in kaart. Denk aan een datalek, ongeoorloofde toegang of onbedoeld gebruik. Schat per risico de kans en de impact in.

1. Bepaal de maatregelen. Per risico kies je maatregelen, zoals versleuteling, toegangsbeperking of een verwerkersovereenkomst met je leverancier.

1. Leg het oordeel vast. Beschrijf welke risico's overblijven en of die acceptabel zijn. Betrek waar nodig je functionaris gegevensbescherming.

1. Houd de DPIA actueel. Een DPIA is geen eenmalig document. Werk hem bij als de verwerking verandert, en herzie hem minstens 1 keer per 3 jaar.

Reken voor een eerste DPIA op ongeveer 8 tot 16 uur werk, verdeeld over de betrokkenen. Zodra je het format kent, kost een volgende veel minder tijd.

Wie je erbij betrekt

Een DPIA is teamwerk. Je hebt kennis nodig van het proces, de techniek en de juridische kant. In het MKB hoeft dat geen groot team te zijn.

Heb je een functionaris gegevensbescherming, betrek die dan vroeg. Niet elk bedrijf is verplicht er een te hebben, maar het advies is waardevol. Denk ook aan de rechten van betrokkenen, want die spelen een rol in je risico-inschatting.

Veelgemaakte fouten

Een DPIA mislukt zelden door de techniek, maar door de aanpak. Deze fouten zie je het vaakst.

De grootste fout is te laat beginnen. Een DPIA hoort vooraf, niet nadat een datalek je dwingt. Mocht het toch misgaan, weet dan hoe je een datalek meldt binnen de wettelijke termijn van 72 uur. Een goed voorbereide organisatie haalt die 72 uur ruim, terwijl een onvoorbereide organisatie kostbare uren verliest met uitzoeken. Een goede DPIA verkleint de kans dat je daar ooit gebruik van moet maken.

Voorbeelden: wel of geen DPIA

Het abstracte criterium "hoog risico" wordt concreter met voorbeelden. Onderstaande gevallen helpen je inschatten of een DPIA nodig is.

Zie je twijfelgevallen, leg dan je redenering vast. Ook als je besluit dat een DPIA niet nodig is, is het verstandig die afweging op te schrijven. Dat kost je hooguit 1 uur en het laat zien dat je bewust hebt nagedacht. Bij een controle telt zo'n onderbouwing mee. In de praktijk besteden de meeste MKB-bedrijven minder dan 4 uur per jaar aan dit soort afwegingen.

Risico's inschatten en wegen

De kern van een DPIA is de risico-inschatting. Je beoordeelt per risico twee dingen: hoe groot is de kans dat het misgaat, en hoe groot is de impact als het misgaat. De combinatie bepaalt hoe zwaar je maatregelen moeten zijn.

Een simpele aanpak werkt goed: geef kans en impact elk een score van laag, midden of hoog. Een risico met hoge kans en hoge impact pak je als eerste aan. Een risico met lage kans en lage impact mag blijven liggen, mits je dat bewust vastlegt. Op die manier verdeel je je aandacht logisch, in plaats van overal evenveel tijd in te steken.

Veel verwerkingen delen dezelfde risico's: een datalek, toegang door de verkeerde persoon, of het te lang bewaren van gegevens. Voor dat laatste loont het om je bewaartermijnen goed vast te leggen. Reken voor de risico-inschatting van een gemiddelde verwerking op ongeveer 2 tot 4 uur overleg met de betrokkenen. Bij grotere of gevoeligere verwerkingen kan dat oplopen tot een dag of meer.

Wie dit een paar keer doet, merkt dat het sneller gaat. De eerste DPIA voelt als zoeken, maar na 2 of 3 keer heb je een vast format en herken je de patronen. Veel bedrijven herzien hun DPIA's daarna 1 keer per jaar in een vast moment, samen met de rest van hun privacyhuishouding.

Houd ook de doorlooptijd en kosten in beeld. Een eenvoudige DPIA rond je in 1 tot 2 weken af, een complexe kost 4 weken of meer. De directe kosten zijn vooral je eigen tijd: reken op 16 uur voor een eerste DPIA en 4 uur voor een herhaling. Schakel je een externe adviseur in, dan ligt een dagtarief vaak tussen 800 euro en 1500 euro. Dat klinkt als veel, maar zet het af tegen de risico's. De boete kan oplopen tot 4 procent van de jaaromzet, en zelfs een mild incident kost het MKB al snel enkele duizenden euro aan herstel en juridische hulp.

Plan de herziening slim. Leg per verwerking vast wanneer je opnieuw kijkt: standaard 1 keer per jaar voor een lichte check, en minstens elke 3 jaar een volledige herziening. Verandert er iets belangrijks, zoals een nieuwe leverancier of een nieuw doel, dan herzie je binnen 2 weken. Zo blijft je DPIA actueel zonder dat het elke maand tijd kost. Voor een gemiddeld MKB-bedrijf blijft de totale jaarlast hiermee beperkt tot enkele uren per verwerking.

Veelgestelde vragen

Is een DPIA voor elk bedrijf verplicht?

Nee. Een DPIA is verplicht bij een hoog privacyrisico, bijvoorbeeld bij grootschalige verwerking, bijzondere gegevens of het volgen van mensen. Voldoe je aan 2 of meer criteria, dan is hij vrijwel altijd nodig.

Hoe lang duurt een DPIA?

Een eerste DPIA kost ongeveer 8 tot 16 uur, verdeeld over de betrokkenen. Zodra je het format kent en hergebruikt, is een volgende een stuk sneller klaar.

Moet ik een jurist inschakelen?

Niet per se. Je kunt een DPIA zelf starten met een goed format. Bij complexe of risicovolle verwerkingen, of als je een functionaris gegevensbescherming hebt, is juridisch advies wel verstandig.

Wat gebeurt er als ik geen DPIA doe terwijl het moet?

Dan voldoe je niet aan de AVG en loop je risico op handhaving. De boetes kunnen oplopen tot 20 miljoen euro of 4 procent van de jaaromzet, al is de praktijk voor het MKB meestal milder. Belangrijker: je mist de kans om risico's vroeg te zien.

Hoe vaak moet ik een DPIA herzien?

Werk de DPIA bij zodra de verwerking inhoudelijk verandert, bijvoorbeeld bij een nieuwe leverancier of nieuw doel. Herzie hem daarnaast minstens 1 keer per 3 jaar, ook als er niets lijkt te zijn veranderd.