DPIA en overproductie

In sommige gevallen stelt de AVG het uitvoeren van een zogenaamde gegevensbeschermingseffectbeoordeling

verplicht of besluit de organisatie zelf dat deze noodzakelijk is. De daarvoor gebruikte term is DPIA, van de Engelse term Data Protection Impact Assessment. Wanneer is die verplicht, welke onderdelen moet die bevatten en hoe voer je die beoordeling zo efficiënt mogelijk uit?

Een DPIA moet worden uitgevoerd als de gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert. De gegevensverantwoordelijke moet hier een eigen afweging in maken. Maar ook als deze niet verplicht is kan het nuttig zijn een DPIA uit te voeren om een gedegen inzicht te krijgen in de data die worden verwerkt en de risico’s die daaraan zijn verbonden.

Wanneer is een DPIA verplicht?

Volgens de AVG is een DPIA noodzakelijk in de volgende gevallen:

Als er systematisch en uitgebreid persoonlijke aspecten worden geëvalueerd op basis van geautomatiseerde verwerking, zoals profilering, en op basis daarvan besluiten worden genomen die gevolgen hebben voor de betreffende mensen;

Als op grote schaal bijzondere persoonsgegevens worden verwerkt of als strafrechtelijke gegevens worden verwerkt;

Als op grote schaal en systematisch mensen worden gevolgd in een publiek toegankelijk gebied.

Het begrip ‘op grote schaal’ laat nogal wat ruimte voor interpretatie. De Europese en Nederlandse toezichthouders hebben dit artikel daarom verder invulling gegeven. De verwerkingen waarvoor een DPIA verplicht is, laten zich in drie categorieën indelen.

DPIA: categorie 1

De eerste categorie zijn de verwerkingen waarvoor een DPIA verplicht is voordat de verwerking begint. De Autoriteit Persoonsgegevens (AP) heeft hiervoor een lijst gepubliceerd:

Heimelijk onderzoek. Het grootschalig verwerken en/of de stelselmatige monitoring van persoonsgegevens, waarbij informatie wordt verzameld met onderzoek zonder dat betrokkene daarover van tevoren op de hoogte is gesteld.

Zwarte lijsten. Verwerking van persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten, gegevens over onrechtmatig en hinderlijk gedrag of gegevens over slecht betalingsgedrag door organisaties of particulieren die worden verwerkt en gedeeld met derden.

Fraudebestrijding. Grootschalige verwerking en/of stelselmatige monitoring van (bijzondere) persoonsgegevens voor fraudebestrijding, bijvoorbeeld door sociale diensten of door fraudeafdelingen van verzekeraars.

Creditscores. Grootschalige verwerking en/of stelselmatige monitoring van persoonsgegevens die leiden tot of gebruikmaken van inschattingen van de kredietwaardigheid van natuurlijke personen, bijvoorbeeld tot uitdrukking gebracht in een creditscore.

Financiële situatie. Grootschalige verwerking en/of stelselmatige monitoring van financiële gegevens waaruit de inkomens- of vermogenspositie of het bestedingspatroon van mensen valt af te leiden. Dan gaat het bijvoorbeeld om overzichten van bankoverschrijvingen, overzichten van de saldi van bankrekeningen of overzichten van pinbetalingen.

Genetische persoonsgegevens. Grootschalige verwerking en/of stelselmatige monitoring van genetische persoonsgegevens, zoals DNA-analyses om persoonlijke kenmerken in kaart te brengen en opslag daarvan in bio-databanken.

Gezondheidsgegevens. Grootschalige verwerking van gegevens over gezondheid, bijvoorbeeld door instellingen of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening, arbodiensten, reïntegratiebedrijven, onderwijsinstellingen, verzekeraars en onderzoeksinstituten. Hieronder valt ook grootschalige elektronische uitwisseling van gegevens over gezondheid. Let op: individuele artsen en individuele zorgprofessionals zijn op grond van overweging 91 van de AVG uitgezonderd van de verplichting een DPIA uit te voeren.

Samenwerkingsverbanden. Het delen van persoonsgegevens in of door samenwerkingsverbanden van overheden met andere partijen, waarbij ook persoonsgegevens van gevoelige aard worden uitgewisseld. Dan gaat het bijvoorbeeld om gegevens over gezondheid, verslaving, armoede, problematische schulden, werkloosheid, sociale problematiek, strafrechtelijke gegevens of de betrokkenheid van jeugdzorg of maatschappelijk werk. Dergelijke uitwisseling gebeurt geregeld in wijkteams, veiligheidshuizen of informatieknooppunten.

Cameratoezicht. Grootschalige verwerking en/of stelselmatige monitoring van openbaar toegankelijke ruimten met camera’s, webcams of drones.

Flexibel cameratoezicht. Grootschalig en/of systematisch gebruik van flexibel cameratoezicht, bijvoorbeeld door camera’s op kleding of helm van brandweer- of ambulancepersoneel en dashcams van hulpdiensten.

Controle werknemers. Grootschalige verwerking en/of stelselmatige monitoring van persoonsgegevens om activiteiten van werknemers te monitoren. Bijvoorbeeld controle van e-mail en internetgebruik, van GPS-systemen in (vracht)auto’s van werknemers of cameratoezicht voor diefstal- en fraudebestrijding.

Locatiegegevens. Grootschalige verwerking en/of stelselmatige monitoring van locatiegegevens van of herleidbaar tot natuurlijke personen. Denk daarbij aan (scan)auto’s, navigatiesystemen, telefoons of verwerking van locatiegegevens van reizigers in het openbaar vervoer.

Communicatiegegevens. Grootschalige verwerking en/of stelselmatige monitoring van communicatiegegevens, inclusief metadata, herleidbaar tot natuurlijke personen, tenzij en voor zover dit noodzakelijk is ter bescherming van de integriteit en de veiligheid van het netwerk, de dienst van de betrokken aanbieder of het randapparaat van de eindgebruiker.

Internet of things. Grootschalige verwerking en/of stelselmatige monitoring van persoonsgegevens die worden gegenereerd door apparaten die verbonden zijn met het internet en die gegevens kunnen versturen of uitwisselen. Het gaat dan om toepassingen die vallen binnen het ‘internet of things’, zoals slimme televisies, slimme huishoudelijke apparaten, connected toys, smart cities, slimme energiemeters en medische hulpmiddelen.

Profilering. Systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, gebaseerd op geautomatiseerde verwerking (profilering). Bijvoorbeeld beoordeling van beroepsprestaties of prestaties van leerlingen, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag.

Monitoring en beïnvloeding van gedrag. Grootschalige verwerking van persoonsgegevens, waarbij op systematische wijze via geautomatiseerde verwerking gedrag van natuurlijke personen wordt geobserveerd of beïnvloed, dan wel de gegevens die daarover worden verzameld en/of vastgelegd, inclusief gegevens die voor het doel van ‘online behavioral advertising’ worden verzameld.

Biometrische gegevens. Grootschalige verwerking en/of stelselmatige monitoring van biometrische gegevens met als doel een natuurlijk persoon te identificeren.
Let op: Op grond van de AVG is de verwerking van biometrische gegevens met als doel de identificatie van een natuurlijk persoon, in beginsel verboden. In Nederland zijn aanvullende voorwaarden gesteld in de Uitvoeringswet AVG. Enkel als de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden is de verwerking van biometrische gegevens toegestaan.

DPIA: categorie 2

De tweede categorie DPIA betreft bestaande verwerkingen waaraan iets verandert. De verwerking zelf verandert bijvoorbeeld, omdat een nieuwe technologie gebruikt gaat worden. Of de persoonsgegevens van de verwerking dienen opeens een ander doel. Door deze veranderingen wordt dit gezien als een nieuwe verwerking, waarvoor een DPIA noodzakelijk is. De verwerking zelf verandert misschien niet, het risico van de verwerking doet dat wel. Risico’s kunnen ook veranderen als een onderdeel van het verwerkingsproces wijzigt.

DPIA: categorie 3

Tot de derde categorie rekenen we de verwerkingen waarbij de organisatie of de maatschappelijke context verandert. Dat kan gebeuren als de gevolgen van geautomatiseerde beslissingen belangrijker zijn geworden of als nieuwe categorieën mensen kwetsbaar worden voor discriminatie. Deze categorie betreft verwerkingen die de Europese toezichthouder als grootschalig beschouwt, zoals:

een ziekenhuis dat patiëntgegevens verwerkt als onderdeel van de gebruikelijke werkzaamheden;

reisinformatie die door een vervoersbedrijf wordt verwerkt;

het verwerken van locatiegegevens door een marktonderzoeksbureau;

een verzekeringsmaatschappij of bank die klantgegevens verwerkt;

een zoekmachine die persoonsgegevens verwerkt om passende advertenties te tonen;

een telefoon- of internetprovider die gebruiksgegevens verwerkt.

Voor deze verwerkingen is altijd een nieuwe DPIA noodzakelijk.

Ook als een DPIA niet verplicht is, kan het nuttig zijn er eentje uit te voeren: met een DPIA krijg je zicht op de risico’s van een verwerking en kun je daar maatregelen voor treffen. Dit instrument biedt een effectieve beheersing van de verwerking van persoonsgegevens.

Eisen aan de DPIA

Eis 1

Allereerst moet de DPIA een systematische beschrijving geven van de beoogde gegevensverwerkingen en de doeleinden daarvan. Die eis laat zich splitsen in tweeën:

De beschrijving van de gegevensverwerking op hoofdlijnen:

Om welke persoonsgegevens gaat het?

Wat is het doel van de verwerking en in welk proces worden de persoonsgegevens gebruikt?

Van welk type betrokkene zijn de persoonsgegevens?

Is de DPIA voor een nieuwe of een reeds bestaande verwerking?

Een gedetailleerde analyse, met daarin hoe de data worden verzameld en gebruikt, of toestemming wordt gevraagd, of er een opt-out is en wat de voorziene bewaartermijn van de data is.

Deze gegevens zijn als het goed is direct uit het register van verwerkingsactiviteiten te halen. Voorkom dan ook verspilling en verwijs naar het register.

Eis 2

De tweede eis is een beoordeling van de subsidiariteit en proportionaliteit van de verwerking. Is het verwerken van persoonsgegevens op deze manier noodzakelijk om het doel te bereiken? Of kan het doel op een andere manier bereikt worden zonder dat persoonsgegevens worden verwerkt (subsidiariteit)? En is de inbreuk op de privacy van de betrokkenen – de mensen van wie u gegevens verwerkt – evenredig in verhouding tot dit doel (proportionaliteit)?

Er komen hierbij meer vragen aan bod, zoals: zijn de betrokkenen voldoende geïnformeerd, is het voor hen duidelijk welke rechten ze hebben, hoe zijn die rechten gewaarborgd en is er sprake van geautomatiseerde besluitvorming?

Eis 3

De kern van de DPIA is de beoordeling van de risico’s voor degene van wie de gegevens worden verwerkt en de maatregelen die worden getroffen om deze risico’s te beperken.

Bij de beoordeling som je alle risico’s op, waarna je aangeeft hoe die zich kunnen voordoen en hoe groot de kans daarop is. Ook maak je een inschatting van de mogelijke impact op de betrokkenen. Het risico is dus de kans dat het zich voordoet, vermenigvuldigt met de impact voor de betrokkenen. Zelf schat ik kans en impact altijd in met een cijfer op een schaal van 1 tot en met 5. Vervolgens kun je de risico’s rangschikken en eerst maatregelen voorstellen voor het mitigeren van de hoogste risico’s. Zorg er bij de beschrijving voor dat je deze beknopt uitvoert, het liefst in korte bullets per onderwerp.

Eis 4

De maatregelen die je gaat treffen om de risico’s te mitigeren, aan te pakken. Welke waarborgen breng je aan in het proces van verwerken? Welke maatregelen tref je om de persoonsgegevens te beschermen? Hoe pak je de informatiebeveiliging aan?

Eis 5

De DPIA zal altijd uitgevoerd worden door de proceseigenaren, de medewerkers die verantwoordelijk zijn voor de verwerking. Een Privacy Officer kan dit proces begeleiden.

Als de DPIA gereed is, zal deze beoordeeld worden door de Functionaris Gegevensbescherming. Deze geeft een advies over de DPIA. De verwerkingsverantwoordelijke kan afwijken van het advies maar zal hiervoor wel een motivatie moeten geven.

DPIA gaat altijd over een proces

Een DPIA wordt altijd uitgevoerd op een verwerking, op een proces en niet op sec een applicatie waarin persoonsgegevens worden verwerkt. Als de DPIA alleen op een applicatie wordt uitgevoerd, bestaat de kans dat privacyrisico’s worden gemist. Bijvoorbeeld het proces van aanmelden van een patiënt: als je daar alleen een DPIA op de applicatie doet waarin de gegevens worden verwerkt en niet op het proces, dan mis je wellicht dat een medewerker voordat de persoonsgegevens ingevoerd worden, deze eerst op een Excelsheet verzameld en daarna in het systeem ‘inklopt’.

Soms wordt op deze regel wel eens een uitzondering gemaakt en wordt alleen een DPIA op een applicatie gedaan. Dit heeft zin als een applicatie door verschillende organisaties worden gebruikt. Dit wordt wel een referentie-DPIA genoemd. De inkooporganisatie van het Rijk, SLM Rijk, heeft bijvoorbeeld een DPIA uit laten voeren op Google Workspace. Op basis daarvan zijn gesprekken met Google gevoerd over verbetering van de privacy bij deze applicatie.

Voor organisaties die Workspace gaan gebruiken is dit een prima referentiepunt. Desalniettemin zal de organisatie op basis van deze DPIA een eigen DPIA op het proces moeten doen om de risico’s goed in kaart te krijgen. SLM Rijk adviseert ook om dit binnen de organisatie te doen.

Verspilling bij de DPIA vermijden

Een DPIA is dus een tijdrovende klus en de kaders laten ruimte voor interpretatie. Om verspilling te voorkomen is het daarom verstandig eerst een zogenaamde pre-DPIA uit te voeren. De pre-DPIA is een eerste check om te beoordelen of een DPIA noodzakelijk is. Je maakt ook meteen aantoonbaar welke afweging je hebt gemaakt voor het al of niet uitvoeren van een DPIA. In de markt zijn verschillende modellen voor pre-DPIA’s beschikbaar. Het meest bruikbaar is mijns inziens het model van het CIP. Deze is vrij verkrijgbaar op hun website.

De DPIA zelf is vormvrij, je kunt dus zelf bepalen hoe je hem opstelt. Dat brengt meteen het gevaar van de verspilling overproductie (hoofdstuk 5) met zich mee. Te uitgebreide beschrijvingen, onnodig complexe (juridische) terminologie en een steeds wisselende vorm van de DPIA. In de praktijk wordt de risicoanalyse ook vaak benaderd vanuit de optiek van informatiebeveiliging. Er wordt dan onnodig diep in gegaan op de beveiligingsaspecten.

Deze verspilling kun je vermijden door een vast format te gebruiken, dat ervoor zorgt dat de DPIA kernachtig en overzichtelijk blijft. Stel daarom voor je inhoudelijk aan het werk gaat eerst een format op aan de hand van de eisen die de AVG voor een DPIA geeft. Verschillende toezichthouders hebben een model voor de DPIA ter beschikking gesteld. De Franse toezichthouder CNIL en de Britse toezichthouder ICO hebben bruikbare en gratis modellen op hun websites staan.

Een tweede verspilling die op de loer ligt is een te brede interpretatie van de DPIA. Beperk je bij de uitvoering tot de risico’s voor de persoonsgegevens. Een kwetsbaarheid in het IT-systeem kan tot het lekken van gegevens leiden, maar als er geen persoonsgegevens in de toepassing opgeslagen zijn dan is er geen sprake van een privacyrisico.

Vanuit efficiency-perspectief bevat de AVG nog een belangrijke bepaling die verspilling kan voorkomen. Een DPIA kan een reeks vergelijkbare verwerkingen betreffen die vergelijkbare hoge risico’s inhouden. Een praktijkvoorbeeld: als verschillende scholen behorend tot één koepelorganisatie op dezelfde wijze camerasurveillance in gaan voeren, hoeft niet voor elke school afzonderlijk een DPIA te worden opgesteld.

Opvolging van de DPIA

Een DPIA brengt alle risico’s van een verwerking in beeld. Als blijkt dat de gegevensverwerking een hoog risico heeft en dat je die met maatregelen onvoldoende kunt beperken, dan moet je hierover de Autoriteit Persoonsgegevens (AP) raadplegen. De AP kan dan adviezen geven hoe je de risico’s kunt beperken, maar ook adviseren de verwerking niet uit te voeren.

De AVG stelt dat indien nodig de verwerkersverantwoordelijke toetst of de verwerking nog conform de DPIA plaatsvinden. Dit dient in ieder geval te gebeuren als het risico van de verwerking verandert. Ik raad aan om de DPIA jaarlijks te checken: is de gegevensverwerking veranderd, zijn er andere gegevens die worden verwerkt, zijn de risico’s hetzelfde of is er iets veranderd? Dat is meteen ook met moment om de PDCA-cyclus, die in hoofdstuk 2 is beschreven, toe te passen.