Gdpr Dpia

GDPR / AVG — Data Protection Impact Assessment Helper

Ondersteunt bij het opstellen, reviewen en valideren van DPIA's onder de AVG (Uitvoeringswet AVG, UAVG). Focus op Nederlandse overheidscontext met BIO2-koppeling.

Wanneer is een DPIA verplicht? (AVG Art. 35 + UAVG Art. 32)

Een DPIA is verplicht bij verwerkingen met hoge privacyrisico's, met name bij:

• Grootschalige verwerking van bijzondere persoonsgegevens (gezondheid, politiek, religie, etc.)
• Grootschalige en systematische monitoring van publiek toegankelijke ruimten (CCTV)
• Geautomatiseerde besluitvorming met rechtsgevolgen (profiling, AI-besluiten)
• Gebruik van nieuwe technologieën (AI, biometrie, IoT op grote schaal)
• Grootschalige verwerking van strafrechtelijke gegevens
• Verwerking van BSN-nummers (verplicht onder UAVG)

Bron: Autoriteit Persoonsgegevens — DPIA | AVG Art. 35

DPIA Kernvragen (AP-lijst)

De Autoriteit Persoonsgegevens hanteert deze kernvragen. Beantwoord alle:

DPIA Stappenplan

STAP 1: AANLEIDING & SCOPE
├── Voorgenomen verwerking beschrijven
├── Bepalen of DPIA verplicht is (AP-criteria check)
├── Scope: welke data, systemen, processen, partijen?
└── Eerst verantwoordelijke(n) en verwerker(s) identificeren

STAP 2: GEGEVENS INVENTARISEREN
├── Welke persoonsgegevens? (gewoon, bijzonder, BSN, strafrechtelijk)
├── Categorieën betrokkenen (burgers, medewerkers, patiënten, etc.)
├── Bewaartermijnen per gegevenssoort (wettelijk vereist?)
└── Bronnen van de gegevens (van betrokkene zelf, van derden?)

STAP 3: VERWERKING ANALYSEREN
├── Doel(en) van verwerking — specifiek en gerechtvaardigd?
├── Grondslag — welke AVG-grondslag en is deze valide?
├── Noodzaak — is elk gegevenstype noodzakelijk voor het doel?
└── Ontvangers — wie krijgt de data en waarom?

STAP 4: RISICO-ANALYSE
├── Dreigingen identificeren (menselijk, technisch, organisatorisch)
├── Kwetsbaarheden in kaart brengen
├── Impact per dreiging (op privacy, grondrechten, autonomie)
├── Waarschijnlijkheid per dreiging
└── Risicomatrix: Impact × Waarschijnlijkheid

STAP 5: MAATREGELEN BESCHRIJVEN
├── Technische maatregelen (encryptie, pseudonimisering, logging)
├── Organisatorische maatregelen (beleid, training, procedures)
├── Toegangsbeheer (RBAC, need-to-know, MFA)
├── Data lifecycle: hoe wordt data verwijderd?
└── Monitoring: hoe wordt compliance geborgd?

STAP 6: CONCLUSIE & GOEDKEURING
├── Resterende risico's na mitigatie
├── Aanvaardbaar of niet?
├── Advies FG/DPO
├── Goedkeuring door verwerkingsverantwoordelijke
└── Publicatie (aanbevolen, niet verplicht tenzij overheidsorgaan)

Verwerkingsgrondslagen (Art. 6 AVG)

DPIA Checklist — Overheid

Aanvullend op de basis DPIA:

• BIO2-maatregelen verwerkt in DPIA (logging, encryptie, toegang, MFA)
• IAMA of FRIA uitgevoerd? (overlap met DPIA — niet dubbel starten)
• FG/DPO geraadpleegd en advies gedocumenteerd
• Verwerkersovereenkomst aanwezig voor elke verwerker
• Sub-verwerkers in kaart en geaccepteerd
• Doorgifte derde landen: Is er een adequaatheidsbesluit of passende waarborgen? (SCC's, BCR's)
• Data minimisation toegepast: welke velden zijn ECHT nodig?
• Bewaartermijnen per gegevenstype vastgesteld — wettelijke basis documenteren
• Rechten van betrokkenen geborgd (inzage, correctie, verwijdering, dataportabiliteit, bezwaar)
• Datalekprocedure ingericht: melden aan AP binnen 72 uur
• Privacy by design & default toegepast in architectuur

Bewaartermijnen — Overheidscontext

Check: Is elke bewaartermijn wettelijk onderbouwd? "Voor de zekerheid" is geen geldige grond.

Verwerkersovereenkomst Checklist

Elke verwerker (externe partij die persoonsgegevens verwerkt namens jou) vereist een verwerkersovereenkomst (Art. 28 AVG):

• Voorwerp en duur van de verwerking
• Aard en doel van de verwerking
• Type persoonsgegevens en categorieën betrokkenen
• Instructie: verwerker handelt ALLEEN volgens instructies verantwoordelijke
• Geheimhouding: verwerker en medewerkers verplicht tot geheimhouding
• Beveiliging: passende technische en organisatorische maatregelen (Art. 32)
• Sub-verwerkers: alleen met voorafgaande schriftelijke toestemming
• Datalekken: bijstand bij meldplicht (72u)
• DPIA-ondersteuning: verwerker helpt bij DPIA
• Rechten betrokkenen: verwerker ondersteunt bij inzage/correctie/verwijdering
• Data verwijdering/devolutie bij einde contract
• Auditrecht: verantwoordelijke mag audits uitvoeren bij verwerker
• Doorgifte derde landen: expliciet regelen indien van toepassing

Verwerkingsregister Minimum Veldlijst

Het verwerkingsregister (Art. 30 AVG) is wettelijk verplicht. Per verwerking minimaal opnemen:

• Naam en contactgegevens verwerkingsverantwoordelijke (en FG)
• Doeleinden van de verwerking
• Categorieën betrokkenen
• Categorieën persoonsgegevens
• Categorieën ontvangers (incl. derde landen)
• Bewaartermijnen (of criteria)
• Technische en organisatorische beveiligingsmaatregelen
• Doorgifte aan derde landen (met waarborgen)

Boetes

Voor de overheid: de AP kan ook bestuursdwang toepassen.

Meer informatie

• AP — DPIA
• AP — DPIA-model
• EUR-Lex — AVG
• GDPR.eu — Complete guide
• Rijksoverheid — Privacy by design