PR-02

Wanneer de AVG-triage (PR-01) wijst op een waarschijnlijk hoog risico voor de rechten en vrijheden van betrokkenen, wordt een Data Protection Impact Assessment (DPIA, gegevensbeschermingseffectbeoordeling) uitgevoerd vóór het onomkeerbaar vastleggen van de verwerking, en de uitkomst landt in de eisen aan de opdracht.

De AVG verplicht een DPIA bij hoog-risico-verwerkingen. Wordt die pas na gunning gedaan, dan kunnen mitigerende eisen niet meer in het bestek worden opgenomen en is de organisatie afhankelijk van wat de gekozen leverancier toevallig biedt. Koppeling aan de behoeftenstelling borgt dat de uitkomst de uitvraag stuurt.

Een uitvoeringsorganisatie wil gegevens van burgers koppelen voor fraudedetectie. PR-01 markeert hoog risico. De DPIA wordt vóór publicatie uitgevoerd en de mitigaties (minimalisatie, logging, menselijke tussenkomst) worden als eisen in het bestek opgenomen, niet pas in de contractfase bedacht.

De toets is goed als bij een hoog-risico-verwerking de DPIA vóór ingebruikname is afgerond, de risico's met concrete mitigaties benoemt en die mitigaties herkenbaar terugkomen in de eisen aan de opdracht, zó dat de organisatie kan aantonen dat art. 35 is nageleefd en niet slechts een sjabloon is ingevuld.

[
  "DPIA uitgevoerd wanneer PR-01 hoog risico aangeeft (art. 35 AVG-criteria)",
  "DPIA bevat: beschrijving verwerking, noodzaak/proportionaliteit, risico's, mitigaties",
  "Voorafgaande raadpleging AP overwogen bij restrisico (art. 36 AVG)",
  "Mitigaties vertaald naar eisen in het bestek",
  "Herzieningsmoment bij wijziging van de verwerking",
  "Betrokken rollen: FG (verplicht), CISO, vakinhoudelijke eigenaar"
]

{
  "ICT": "Bij grootschalige of structurele monitoring DPIA-plicht eerder aan de orde.",
  "ZORG": "Bij gezondheidsgegevens vrijwel altijd DPIA-plichtig; NEN 7510-maatregelen in de mitigaties.",
  "SOC_ONDERWIJS": "Bij profilering of besluitvorming over personen grondrechtenimpact zwaar wegen; raakvlak met FRIA (IR-02) bij AI."
}

{}

0, 2