Ben je als corporatie van plan persoonsgegevens te verwerken en levert dat een hoog privacyrisico op? Dan ben je verplicht eerst een Data Protection Impact Assessment, DPIA, uit te voeren. Een DPIA is een instrument om vooraf de privacyrisico s van een gegevensverwerking in kaart te brengen. Zodat je maatregelen kan nemen om deze risico s te verkleinen.

De verplichting om een DPIA uit te voeren staat in de:

• Algemene verordening gegevensbescherming, AVG
• Wet politiegegevens, Wpg
• Wet justitiele en strafvorderlijke gegevens, Wjsg.

In deze wetten wordt de DPIA een gegevensbeschermingseffectbeoordeling, GEB, genoemd.

Wanneer een DPIA?

Als corporatie moet je zelf bepalen of jouw gegevensverwerking een hoog privacyrisico oplevert. En je dus een DPIA moet uitvoeren. De AVG, de Autoriteit Persoonsgegevens en de European Data Protection Board hebben criteria die hierbij kunnen helpen. 

DPIA volgens de AVG

De Algemene Verordening gegevensbescherming, AVG, geeft aan dat je in ieder geval een DPIA moet uitvoeren als je corporatie: 

• Systematisch en uitgebreid persoonlijke aspecten van mensen beoordeelt. Dit doet op basis van geautomatiseerde verwerking van persoonsgegevens, waaronder profiling. En als de corporatie hierop besluiten baseert die gevolgen hebben voor mensen. Bijvoorbeeld dat zij geen lening kunnen afsluiten. Een voorbeeld hiervan is creditscoring.
• Op grote schaal bijzondere persoonsgegevens verwerkt.
• Strafrechtelijke gegevens verwerkt.
• Op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied. Bijvoorbeeld met cameratoezicht.

Deze versturen we 3-4x per jaar.