Data Protection Impact Assessment
Data Protection Impact Assessment
Breng het risico in kaart, voordat u begint
Verwerkt u persoonsgegevens met een waarschijnlijk hoog risico voor de betrokkenen, dan verplicht de AVG een DPIA vóór u begint. Wij voeren de beoordeling voor u uit, wegen de risico’s en leggen alles vast, zodat u aantoonbaar voldoet aan artikel 35.
Wanneer verplicht
Drie situaties waarin een DPIA moet
De AVG verplicht een DPIA zodra een verwerking waarschijnlijk een hoog risico oplevert. In deze drie gevallen is dat vrijwel altijd aan de orde.
Bijzondere gegevens, grootschalig
Grootschalige verwerking van gezondheids-, biometrische of andere bijzondere persoonsgegevens.
Stelselmatige monitoring
Grootschalig en stelselmatig volgen van mensen, zoals cameratoezicht in openbare ruimte of tracking.
Profilering of nieuwe technologie
Geautomatiseerde besluiten met rechtsgevolgen, of nieuwe technologie die het risico verhoogt.
Twijfelt u of uw verwerking op de DPIA-lijst van de Autoriteit Persoonsgegevens staat? Leg het ons voor, wij bepalen het met u.
De aanpak
De vijf verplichte onderdelen
Artikel 35 schrijft precies voor wat een DPIA moet bevatten. Wij doorlopen elk onderdeel met u en leggen het onderbouwd vast.
1
Beschrijving van de verwerking
Doel, aard, omvang en context van de gegevensverwerking.
2
Noodzaak en evenredigheid
Is de verwerking noodzakelijk en in verhouding tot het doel.
3
Risico's voor betrokkenen
Beoordeeld met een vaste risicomatrix op kans en impact.
4
Risicobeperkende maatregelen
Maatregelen die het risico terugbrengen tot een aanvaardbaar niveau.
5
Advies van de FG
De Functionaris Gegevensbescherming adviseert over de DPIA.
Onderdeel van het geheel
Vast in uw GRC Management Systeem
De DPIA staat niet op zichzelf. Het koppelt aan uw verwerkingsregister, dezelfde risicomatrix en uw register van maatregelen. Blijft er een hoog restrisico over, dan begeleiden wij de voorafgaande raadpleging bij de Autoriteit Persoonsgegevens. Zo is compliance geen los document, maar een systeem dat blijft kloppen.
Wat u terugkrijgt
Een DPIA die de toets doorstaat
Vastgelegde DPIA
Een compleet, gedocumenteerd rapport met alle vijf de verplichte onderdelen.
Risicomatrix met maatregelen
Elk risico gescoord, met de concrete maatregelen die het acceptabel maken.
Koppeling aan uw register
Verbonden met uw verwerkingsregister, zodat u ziet waar een DPIA nog nodig is.
Moet u een DPIA uitvoeren?
Weet u niet zeker of een verwerking een DPIA vereist, of wilt u er een laten uitvoeren? Leg uw situatie aan ons voor. Wij bepalen of het moet, voeren de beoordeling uit en leggen het vast.
