Data protection impact assessments, DPIA s, kampen met een groot imagoprobleem, ze zouden vol open deuren en juridisch gepriegel staan, veel tijd kosten en eigenlijk vooral een moetje zijn. Terwijl DPIA s juist voor mensen zoals u, bestuurders in het openbaar bestuur, hartstikke handig zijn bij het nemen van besluiten over verwerkingen waar persoonsgegevens in voorkomen.

Aan de hand van een goed opgestelde DPIA kan ook iemand die verder afstaat van de juridische en technische details precies uitleggen:

• Wat de verwerking inhoudt,
• Hoe de verwerking juridisch onderbouwd wordt,
• Welke risico s de verwerking met zich meebrengt en hoe deze kunnen worden gemitigeerd tot een acceptabel niveau,
• Wat de impact is op de rechten van betrokkenen,
• Hoe de opbrengst van de verwerking opweegt tegen de negatieve impact op rechten van betrokkenen en
• Waarom deze verwerking niet op een andere manier met minder gegevens dezelfde resultaten kan behalen

Kortom: u kunt met een DPIA de rechtmatigheid, proportionaliteit en subsidiariteit van een verwerking aantonen. Andersom werkt het ook: als in de DPIA de rechtmatigheid, proportionaliteit en subsidiariteit van een verwerking niet wordt aangetoond, zou u wel gek zijn deze te laten starten.

Het lastige van een DPIA zijn de vele kwesties die niet standaard binnen de DPIA opgenomen staan maar die wel relevant zijn voor het beoordelen van de verwerking. Zoals bijvoorbeeld:

• Wie wil deze verwerking eigenlijk? Waar is dat besloten?
• Welke rol speelt de DPIA in de verdere besluitvorming over deze verwerking? Wie moet er nog akkoord gaan en in welke volgorde?
• Welk probleem lost deze verwerking op en is dit wel de beste oplossing?
• Zouden we niet eerst andere problemen moeten oplossen?
• Hoe verhoudt deze verwerking zich tot de andere lopende en geplande verwerkingen?

Deze versturen we 3-4x per jaar.