Wat is de verhouding tussen een DPIA en de verantwoordingsplicht?

Een organisatie moet als verwerkingsverantwoordelijke aantonen dat wordt voldaan aan al haar verplichtingen uit de AVG, zie art. 5 lid 2 en 24 AVG. Dit wordt ook wel de ‘verantwoordingsplicht’ genoemd.

Onderdeel van de verantwoordingsplicht is dat de verwerkingsverantwoordelijke aantoont hoe hij voldoet aan de beginselen van de AVG.

Een verwerking moet voldoen aan de volgende beginselen:

Die in art. 5 lid 1 AVG zijn opgesomd.

Rechtmatig, behoorlijk en transparant.

Doelspecificatie en doelbinding. Voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld. En vervolgens: deze niet verder verwerken voor onverenigbare doeleinden.

Dataminimalisatie (proportionaliteit): toereikend, ter zake dienend, noodzakelijk voor de doeleinden.

Datakwaliteit: juist en up-to-date.

Bewaartermijnen: opslagbeperking, niet langer identificeerbaar dan voor doeleinden noodzakelijk.

Informatiebeveiliging: toepassen van de passende technische en organisatorische maatregelen.

Al deze eisen worden in een correct uitgevoerde DPIA onderzocht en beoordeeld.

In een DPIA wordt ook afgewogen of de verwerking proportioneel is. Zie hiervoor art. 35 lid 7 onderdeel b, ‘noodzaak en evenredigheid’. In 2019 kwam een Nederlandse rechter

Zie Rechtbank Amsterdam 12 augustus 2019, ECLI:NL:RBAMS:2019:6005.

in de ‘Manfield’-zaak tot de conclusie dat bij het invoeren van een vingerscan voor kassamedewerkers, de verwerkingsverantwoordelijke onvoldoende had onderzocht of minder ingrijpende alternatieven mogelijk waren. Indien de verwerkingsverantwoordelijke een deugdelijke DPIA had uitgevoerd, had deze mogelijk zelf al geconstateerd dat het invoeren van vingerscanners mogelijk niet proportioneel zou zijn, of bij een goede onderbouwing had het oordeel van de rechter mogelijk anders uitgepakt.

Het is dan ook niet zo vreemd dat de DPIA een link heeft naar een andere verplichting uit de AVG in het kader van de verantwoordingsplicht, namelijk art. 30 AVG: het register van verwerkingsactiviteiten. De verantwoordelijke moet een register bijhouden van de verwerkingsactiviteiten die onder zijn verantwoordelijkheid plaatsvinden. Het ligt voor de hand om de uitkomsten van de DPIA in dit register op te nemen.

Het register van verwerkingsactiviteiten kan door de toezichthouder worden opgevraagd om te beoordelen of de verwerkingsverantwoordelijke zich houdt aan de AVG. Dit heeft de Autoriteit Persoonsgegevens

Zie persbericht Autoriteit Persoonsgegevens https://www.autoriteitpersoonsgegevens.nl/nl/nieuws/ap-start-onderzoek-naar-naleving-privacyregels-door-private-sectoren van 17 juli 2018: ‘Bij een willekeurige steekproef van dertig grote organisaties uit tien private sectoren onderzoekt de AP of zij een register van verwerkingsactiviteiten bijhouden. Heeft een organisatie een register van verwerkingen en bevat het de juiste informatie? Dan beschouwt de AP dat als een belangrijke eerste stap waarmee een organisatie laat zien dat zij de privacyregels serieus neemt.’

ook al daadwerkelijk gedaan in de periode na de invoering van de AVG.

De DPIA is een belangrijk middel om de naleving van de AVG te kunnen aantonen. Dit wordt ook nog eens bevestigd door de Wp29.

Zie ook de richtsnoeren van de WP29 WP 248 van 4 april 2017 (en laatstelijk gewijzigd en vastgesteld op 4 oktober 2017), p. 4: ‘Een gegevensbeschermingseffectbeoordeling is een proces dat is bedoeld om de verwerking van persoonsgegevens te beschrijven, de noodzaak en evenredigheid ervan te beoordelen en de daaraan verbonden risico’s voor de rechten en vrijheden van natuurlijke personen te helpen beheren door deze risico’s in te schatten en maatregelen te bepalen om ze aan te pakken. Gegevensbeschermingseffectbeoordelingen zijn belangrijke verantwoordingsinstrumenten omdat ze verwerkingsverantwoordelijken niet alleen helpen om aan de eisen van de AVG te voldoen, maar ook om aan te tonen dat passende maatregelen zijn genomen teneinde ervoor te zorgen dat de verordening wordt nageleefd’ (zie ook art. 24 AVG).