Aankoopgids Privacy & Data Protection (DPIA/PbD)

Een DPIA is verplicht als een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen, zoals bedoeld in artikel 35 AVG. Denk aan grootschalige verwerking van bijzondere persoonsgegevens, systematische en uitgebreide beoordeling van personen, of stelselmatige monitoring van openbare ruimte. De Autoriteit Persoonsgegevens hanteert daarnaast een lijst met verwerkingen waarvoor een DPIA sowieso verplicht is.

Aanbieders met een vaste prijs zitten rond €2.000 tot €2.500 per DPIA. De spreiding komt vooral door scope: één afgebakend systeem is goedkoper dan een keten met meerdere verwerkers en internationale doorgiftes. Ook of de aanbieder alleen faciliteert of ook zelf de maatregelen uitwerkt, scheelt fors.

Ja, de AVG schrijft geen externe partij voor, en met een goed sjabloon kom je een eind. In de praktijk loopt het vaak vast op het beoordelen van risico's en het formuleren van proportionele maatregelen, precies het deel waarop een toezichthouder toetst. Een externe begeleider die de workshop leidt en het rapport toetsbaar maakt, is meestal de kern van de toegevoegde waarde.

Privacy by design betekent dat je gegevensbescherming inbouwt op het moment dat je een systeem of proces ontwerpt, niet achteraf repareert. Concreet: dataminimalisatie, standaard de striktste instellingen, bewaartermijnen die automatisch aflopen en toegang op basis van rol. Een DPIA vroeg in een project is het instrument waarmee je dit afdwingt.

Bij elke wezenlijke wijziging in doel, middelen of risico van de verwerking, en verder periodiek. Veel organisaties hanteren een jaarlijkse hertoets voor verwerkingen met een hoog risico. Verandert de leverancier, het land van opslag of de hoeveelheid gegevens, dan is dat op zichzelf al aanleiding.

Dat zijn losse verplichtingen. Een DPIA hangt aan de verwerking, een FG aan de organisatie. Als je een FG hebt, moet je die wel om advies vragen bij elke DPIA, en dat advies vastleggen.