DPIA

Het doel van het uitvoeren van een DPIA is meerledig;

• De organisatie is gedwongen de belangen van de betrokkene en die van de organisatie zorgvuldig af te wegen.
• De organisatie moet goed afwegen en beschrijven hoe de risico’s van de verwerking beperkt kunnen worden en de maatregelen beschrijven.
• De organisatie bepaalt op basis van de DPIA of zij voorafgaande raadpleging bij de Autoriteit Persoonsgegevens moet aanvragen.
• De organisatie slaat het document op als onderdeel van haar verantwoording in geval van een controle door een autoriteit of bijvoorbeeld in geval van een audit of andere controle.

Dit is het geval wanneer een verwerking van persoonsgegevens waarschijnlijk een hoog privacy risico oplevert voor de mensen van wie de organisatie gegevens verwerkt. De AP geeft aan dat een DPIA in ieder geval moet worden uitgevoerd als een organisatie:

• systematisch en uitgebreid persoonlijke aspecten evalueert gebaseerd op geautomatiseerde verwerking, waaronder profiling en daarop besluiten baseert die gevolgen hebben voor mensen;
• op grote schaal bijzondere persoonsgegevens verwerkt of strafrechtelijke gegevens verwerkt;
• op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied (bijvoorbeeld met cameratoezicht).

Start zo vroeg mogelijk met de uitvoering van de DPIA, bij voorkeur in de ontwerpfase. Dan bent u meteen goed bezig als het gaat om privacy by design & default (ook een verplichting uit de AVG). Onze DPIA checklist geeft aan of u een DPIA moet uitvoeren en zo ja wat er in de DPIA moet staan.