Een DPIA uitgevoerd, het vinkje gezet, en dan? In de praktijk zie ik bij gemeenten nog vaak dat een Data Protection Impact Assessment (DPIA) wordt behandeld als een afvinklijstje. Het document wordt opgesteld, de risico’s en aanbevelingen worden netjes beschreven en daarna verdwijnt de DPIA in een (digitale) la. Of de aanbevelingen worden uitgevoerd, wordt vaak niet gecontroleerd. En het systeem gaat gewoon live, omdat de planning dat vraagt.

Dat is zonde, want een DPIA is juist bedoeld om betere keuzes te maken. Sterker nog: de uitkomst van een DPIA zou moeten bepalen óf je een nieuw systeem of een wijziging überhaupt in productie neemt. En als er risico’s overblijven, moet iemand met de juiste bevoegdheid die risico’s bewust accepteren. In deze blog lees je wat het verschil is tussen een compliance-DPIA en een besluitvormende DPIA, waarom risicoacceptatie een bestuurlijke verantwoordelijkheid is (zie ook de Cyberbeveiligingswet) en hoe je de DPIA in jouw gemeente laat meetellen bij de besluitvorming.

Download hier een pdf van deze blog

Wat is een DPIA ook alweer?

Een DPIA is een onderzoek naar de privacyrisico’s van een bepaalde gegevensverwerking. Het laat zien welke risico’s er zijn voor betrokkenen, zoals inwoners en medewerkers, en welke maatregelen nodig zijn om die risico’s te verkleinen of te voorkomen. Volgens de AVG is een DPIA verplicht wanneer een verwerking waarschijnlijk een hoog risico oplevert. Denk aan grootschalige verwerking van bijzondere persoonsgegevens, stelselmatige monitoring, profilering of datakoppelingen binnen het sociaal domein.

Voor gemeenten wordt de DPIA steeds belangrijker. Steeds meer verwerkingen zijn risicovol: AI-toepassingen, sensoren in de openbare ruimte, cameratoezicht, cloudplatforms en datakoppelingen. Lees ook onze eerdere blogs ‘Hoe voer je een DPIA uit?’ en ‘Waarom is het lastig om structureel DPIA’s uit te voeren?’.

De compliance-DPIA: een afvinklijstje

Een compliance-DPIA kijkt vooral of aan de AVG-verplichtingen op papier is voldaan. Is er een doel? Is er een grondslag? Welke persoonsgegevens worden verwerkt? Welke bewaartermijnen gelden? Staat alles netjes in het document? Dat is belangrijk, maar niet genoeg. In de praktijk herken je een compliance-DPIA aan de volgende kenmerken:

•  Te laat in het project: De applicatie is al gekozen, het contract is (bijna) getekend en de planning staat vast. De DPIA beschrijft vooral wat al is besloten en de ruimte om nog iets te veranderen is beperkt.

•  Het document is het doel: Zodra de DPIA is afgerond en ondertekend, wordt het project als ‘AVG-proof’ beschouwd. Het vinkje staat, maar de risico’s zijn er nog steeds.

•  Aanbevelingen zonder eigenaar: Maatregelen worden geformuleerd, maar niet belegd. Er is geen eigenaar, geen termijn en geen budget. Daardoor worden ze vaak nooit uitgevoerd.

•  Geen monitoring: Niemand controleert of de maatregelen ook echt zijn geïmplementeerd en of ze werken. Ook na de livegang wordt de DPIA niet meer bekeken, terwijl processen, leveranciers en gegevensstromen veranderen.

•  Restrisico’s worden niet besproken: Risico’s die overblijven worden wel genoemd, maar niet expliciet geaccepteerd door iemand met de juiste bevoegdheid. Vaak ‘accepteert’ het projectteam ze stilzwijgend, omdat de deadline anders niet wordt gehaald.

•  De Privacy Officer als eigenaar: De DPIA wordt gezien als iets van de Privacy Officer of de FG, in plaats van als verantwoordelijkheid van de proceseigenaar.

Het gevolg is schijnzekerheid. Het lijkt alsof privacy is geregeld, terwijl de echte risico’s voor inwoners blijven bestaan. En als het misgaat, bijvoorbeeld bij een datalek of een onderzoek van de Autoriteit Persoonsgegevens (AP), blijkt dat de risico’s al lang bekend waren. Lees ook onze eerdere blog ‘Een DPIA uitgevoerd en dan?’.

De besluitvormende DPIA: wel of niet in productie?

Een besluitvormende DPIA werkt anders. Die begint vroeg, wanneer er nog keuzes mogelijk zijn, en eindigt met een expliciet besluit. De uitkomst van de DPIA is dan geen bijlage bij het projectdossier, maar een voorwaarde voor livegang. Net zoals een systeem niet in productie gaat zonder geslaagde acceptatietest, zou een systeem ook niet in productie moeten gaan zonder een afgeronde en opgevolgde DPIA.

Een besluitvormende DPIA leidt tot één van de volgende uitkomsten:

•  Go: De risico’s zijn voldoende beheerst. Het systeem of de wijziging kan in productie worden genomen.

•  Go, onder voorwaarden: Het systeem kan live, maar pas nadat bepaalde maatregelen zijn uitgevoerd. Denk aan het inrichten van autorisaties per rol, logging, het verkorten van bewaartermijnen of aanvullende afspraken met de leverancier.

•  No-go of heroverweging: De risico’s zijn te hoog en kunnen niet voldoende worden verkleind. Dan moet het ontwerp worden aangepast, moet een alternatief worden gezocht of wordt besloten om niet door te gaan.

Let op: blijft er na het nemen van maatregelen een hoog restrisico over, dan ben je volgens de AVG (artikel 36) verplicht om de AP vooraf te raadplegen. Dit moet gebeuren vóórdat de verwerking start. Ook dat laat zien dat een DPIA bedoeld is om het besluit te sturen en niet om het achteraf te onderbouwen.

Risicoacceptatie: bestuurlijk maken wat bestuurlijk is

Niet elk risico kan volledig worden weggenomen. Dat hoeft ook niet. Maar als er restrisico’s overblijven, moet duidelijk zijn wie die accepteert, op basis waarvan en voor hoe lang. Een projectleider of functioneel beheerder kan niet zomaar een hoog privacyrisico accepteren omdat de planning anders niet wordt gehaald. Ook de Privacy Officer of FG accepteert geen risico’s: zij adviseren, de organisatie besluit.

Deze lijn zie je ook terug in de Cyberbeveiligingswet (Cbw), de Nederlandse invulling van de NIS2-richtlijn, die op 15 augustus 2026 in werking is getreden. De Cbw en het onderliggende Cyberbeveiligingsbesluit (Cbb) leggen de verantwoordelijkheid voor risicobeheer nadrukkelijk bij de bestuurders. Zij moeten de maatregelen voor het beheersen van cyberrisico’s goedkeuren, toezicht houden op de uitvoering ervan, kunnen hierop worden aangesproken en moeten scholing volgen om risico’s te kunnen beoordelen. Risico’s zijn daarmee geen technische of juridische bijzaak meer, maar een bestuurlijke verantwoordelijkheid. Lees ook onze blog ‘Wat bestuurders moeten weten over cyberrisico’s’.

De Cbw gaat over de beveiliging van netwerk- en informatiesystemen en niet over privacy. Toch geldt hetzelfde principe voor de DPIA: wie de gevolgen draagt, moet ook bewust besluiten. Bovendien raken DPIA en Cbw elkaar vaak in de praktijk. Een nieuw systeem met persoonsgegevens brengt bijna altijd ook informatiebeveiligingsrisico’s met zich mee. Het ligt dan voor de hand om privacy- en securityrisico’s samen voor te leggen aan degene die erover moet besluiten.

Zorg daarom voor een formele risicoacceptatie. Leg vast welk restrisico wordt geaccepteerd, door wie, met welke onderbouwing en tot wanneer. Maak daarbij afspraken over welk risiconiveau door wie mag worden geaccepteerd. Bijvoorbeeld: lage risico’s door de proceseigenaar, middelhoge risico’s door de directie en hoge risico’s door het college van B&W.

Hoe maak je van de DPIA een besluitvormend instrument?

Hoe zorg je ervoor dat de DPIA in jouw gemeente echt meetelt? Hieronder vind je zeven stappen:

1. Start vroeg: Neem een pre-DPIA op in de projectstart, de inkoopprocedure en het wijzigingsproces. Zo komen privacyrisico’s op tafel vóórdat het ontwerp vastligt en de leverancier is gekozen (Privacy by Design en Default).

2. Formuleer risico’s concreet: Niet ‘er is een privacyrisico’, maar ‘medewerkers kunnen meer dossiers inzien dan nodig is voor hun functie, waardoor onbevoegde inzage in gevoelige persoonsgegevens kan plaatsvinden.’ Concrete risico’s zijn beter te begrijpen voor bestuurders en leiden tot gerichtere maatregelen.

3. Maak van aanbevelingen maatregelen: Elke maatregel krijgt een eigenaar, een termijn, een status en waar nodig budget. Een aanbeveling zonder eigenaar is een wens, geen maatregel.

4. Koppel de DPIA aan het go/no-go-moment: Maak een afgeronde DPIA, met uitgevoerde maatregelen of een formele risicoacceptatie, een harde voorwaarde voor ingebruikname. Neem dit op in de acceptatie- en releaseprocedure en in het wijzigingsproces.

5. Leg risicoacceptatie formeel vast: Laat restrisico’s accepteren door iemand met de juiste bevoegdheid en leg dat besluit vast, inclusief onderbouwing en geldigheidsduur.

6. Monitor na livegang: Controleer of maatregelen echt zijn uitgevoerd en of ze werken. Neem de status van DPIA-maatregelen op in de reguliere rapportages aan het management en in de planning-en-controlcyclus. Lees ook onze blog ‘Rapporteren zonder resultaat: de frustratie van elke FG en CISO’.

7. Herzie de DPIA bij veranderingen: Processen veranderen, leveranciers voegen functionaliteiten toe en gegevensstromen groeien. Bij grote wijzigingen, incidenten of klachten moet de DPIA opnieuw worden bekeken (AVG artikel 35, lid 11). Ook een geaccepteerd risico moet periodiek opnieuw worden beoordeeld.

Kortom

Een compliance-DPIA laat zien dát er over privacy is nagedacht. Een besluitvormende DPIA zorgt ervoor dat er ook iets mee gebeurt. Het verschil zit in timing, eigenaarschap, opvolging en een expliciet besluit over de restrisico’s. Wie de DPIA vroeg inzet, maatregelen belegt en monitort en de uitkomst laat meewegen in het besluit om een systeem wel of niet in productie te nemen, maakt van privacy een onderdeel van goed bestuur. Niet als rem, maar als randvoorwaarde voor betrouwbare dienstverlening aan inwoners.

Meer informatie of hulp nodig?

Heb je na het lezen van deze blog vragen of hulp nodig binnen jouw gemeente op dit vlak? IB&P helpt je graag. Wij bieden onder andere:

•  Uitvoeren van DPIA’s: Wij voeren DPIA’s uit samen met de betrokken medewerkers en vertalen de bevindingen naar concrete maatregelen met een eigenaar en termijn.

•  Inrichten van het DPIA-proces: Wij helpen bij het opzetten van een pre-DPIA, het koppelen van de DPIA aan inkoop, wijzigingsbeheer en het go/no-go-moment, en het inrichten van formele risicoacceptatie.

•  Begeleiden van projectteams en management: Wij begeleiden projectteams bij het uitvoeren en opvolgen van DPIA’s en helpen bestuurders om restrisico’s goed te kunnen beoordelen.

Meer weten? Neem direct contact met ons op om te zien wat IB&P voor jou kan betekenen.

Bij het schrijven van onze blogs wordt AI gebruikt als hulpmiddel om de tekst scherper, duidelijker en leesbaarder te maken. De gedachten, ervaringen, argumenten en visie in deze blogs zijn echter van de auteurs. AI helpt bij de redactie, niet bij het bepalen van wat de auteurs vinden of willen vertellen.