Vorige week kondigde de Autoriteit Persoonsgegevens (AP) aan dat zij een onderzoek start naar smart city-toepassingen van gemeenten. Hiervoor vraagt de AP naar de uitgevoerde gemeentelijke DPIA. In de DPIA beoordeelt de gemeente de privacyrisico’s van een voorgenomen smart city-toepassing.

In eerste instantie controleert de AP de DPIA’s van een selecte groep gemeenten, maar deze groep wordt later uitgebreid. De gemeenten die nog geen verzoek van de AP hebben ontvangen, doen er dus goed aan om hun DPIA-huiswerk te maken of na te lopen. In dit artikel zet ik voor gemeenten de belangrijkste aandachtspunten uiteen voor het geval de AP overgaat tot de controle van de DPIA’s.

Waarom een DPIA?

De DPIA is een verplichting uit de Europese privacywet, de AVG (Algemene verordening gegevensbescherming / General Data Protection Regulation). Volgens de AVG moet de gemeente een DPIA uitvoeren vóórdat zij persoonsgegevens gebruikt voor een activiteit die waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van burgers. Het doel van de DPIA is onder meer het beoordelen van de mogelijke privacy-impact van het beoogde gegevensgebruik, zodat nagegaan kan worden of (en hoe) de gemeente een smart city-toepassing in lijn met de AVG kan uitvoeren.

Deze versturen we 3-4x per jaar.