Er bestaan flink wat misverstanden over de vraag of een DPIA nodig is. Met name in de gemeentelijke omgeving. Om die reden leg ik hieronder uit in welke gevallen geen DPIA nodig is.
Sinds de invoering van de AVG in 2018 is de DPIA in een aantal gevallen verplicht voorgeschreven (Lijst verplichte DPIA’s). Een DPIA is verplicht als er waarschijnlijk hoge risico’s zijn:
Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhouden voor de rechten en vrijheden van natuurlijke personen voert de verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens (artikel 35 lid 1 AVG).
In dit artikel leg ik uit dat voor het verwerken van persoonsgegevens door gemeenten, in veel gevallen géén DPIA nodig is, maar vaak wel een rechtmatigheidstoets.
Gemeenten verwerken voor hun publieke taak altijd persoonsgegevens op grond van een specifieke wet. Daar ontleent een gemeente haar bevoegdheid aan. Zonder wet geen bevoegdheid. Er is geen DPIA nodig als de verwerking een wettelijke grondslag heeft:
Wanneer verwerking uit hoofde van artikel 6, lid 1, punt c) of e), haar rechtsgrond heeft in het Unierecht of in het recht van de lidstaat dat op de verwerkingsverantwoordelijke van toepassing is, en de specifieke verwerking of verwerkingen in kwestie daarbij wordt geregeld, en er reeds als onderdeel van een algemene effectbeoordeling in het kader van de vaststelling van deze rechtsgrond een gegevensbeschermingseffectbeoordeling is uitgevoerd, zijn de leden 1 tot en met 7 niet van toepassing, tenzij de lidstaten het noodzakelijk achten om voorafgaand aan de verwerkingen een dergelijke beoordeling uit te voeren (artikel 35 lid 10 AVG).
De logica daarachter is als volgt: bij de totstandkoming van wetgeving is in het wetgevingsproces al een belangenafweging gemaakt tussen enerzijds de noodzaak tot het verwerken van persoonsgegevens en anderzijds de bescherming van de persoonlijke levenssfeer. De waarborgen zijn veelal al in die wetten opgenomen. Er zijn vervolgens twee situaties (grondslagen) te onderscheiden: de wettelijke plicht en de publieke taak.
Er is geen DPIA nodig als:
de verwerking noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust (artikel 6 lid 1 onder c AVG).
Voorbeelden zijn de verplichte verwerking van persoonsgegevens en de terugmeldplicht van de basisregistraties van de publieke sector waaronder de basisregistratie personen, adressen en gebouwen en het Handelsregister (AVG en basisregistraties). Ook in de Wet gemeentelijke schuldhulpverlening zijn verplichtingen opgenomen en ook de lokale belastingen, de uitgifte van identiteitsbewijzen en rijbewijzen kennen geen ruimte om de gegevensverwerking naar eigen inzicht in te richten. In al die wetten is de omgang met persoonsgegevens nauwkeurig omschreven. Een goed voorbeeld van deze wettelijke plicht zijn de akten van de burgerlijke stand (o.a. geboorte, huwelijk, overlijden). Bij de totstandkoming van die akten is elke handeling tot op de millimeter wettelijk vastgelegd. Een DPIA is in deze gevallen zinloos omdat niet van de voorgeschreven werkwijze mag worden afgeweken. Ook bij de verplichte openbaarmaking van gegevens zoals bij vergunningverlening is geen DPIA nodig. In dergelijke wetten is precies voorgeschreven wat er moet gebeuren met de persoonsgegevens; de herkomst, de doeleinden, de betrokken partijen en de verstrekkingen. Je mag niet méér met die persoonsgegevens doen dan bij die wet geregeld is. Het principe van doelbinding en de geheimhoudingsplicht staan daaraan in de weg.
Er is ook geen DPIA nodig als:
de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen (artikel 6 lid 1 onder e AVG).
Bij deze gegevensverwerkingen gaat het ook om wetgeving die op overheidsniveau is vastgesteld (eis van artikel 6 lid 3 onder b AVG) en ook voor de uitvoering van deze wetten is in de regel geen DPIA nodig. Die heeft al in het wetgevingsproces plaatsgevonden. Nederland kent namelijk al sinds 2013 een model DPIA Rijksdienst die wordt toegepast in het wetgevingsproces. Sinds 2018 is dit model verplicht gesteld bij de tot standkoming van wetgeving (Model DPIA Rijksdienst).
Maar het feit dat de bevoegdheden om gegevens te verwerken in een wet zijn vastgelegd, betekent nog niet dat het met de gegevensverwerkingen in de praktijk ook goed zal gaan. Dan kan toch een DPIA nodig zijn. Dit doet zich vaak voor als de verwerkingsverantwoordelijke ruimte heeft die uitvoering zelf in te richten.
Een DPIA is een risicobeoordeling. Deze moet onderscheiden worden van de rechtmatigheidstoets. Die gaat aan een DPIA vooraf. Een DPIA is pas zinvol als een voorgenomen verwerking van persoonsgegevens in principe rechtmatig is, dat het mag, maar aan de uitvoering in de praktijk risico’s kleven. Bijvoorbeeld als de verwerkingsverantwoordelijke veel ruimte heeft om persoonsgegevens te verwerken. Dan kunnen er bijzondere risico’s zijn die in beeld gebracht moeten worden. Zoals een toets van het middel waarmee en de wijze waarop persoonsgegevens worden verwerkt (ict-systeem, software, platform, selecties). Een voorbeeld is de aanschaf hulpmiddelen, zoals apps of een platform, voor parkeerbeheer, de armoedepas of om inwoners te informeren over wegafsluitingen waarbij dat hulpmiddel meer informatie verwerkt dan noodzakelijk is, zoals informatie over het apparaat (meestal de telefoon), merk, systeem, identificatienummer, taal, tijd, locatie van het device en de softwareversie. Daar is de vraagstelling van een DPIA op gericht. Zo’n risicobeoordeling ziet met name op de voorwaarden voor de uitvoering van de dataverwerking, het beschrijft de grenzen en regelt de waarborgen.
Wat vaak voorkomt is dat men meer wil: gegevens voor andere doeleinden gebruiken, meer gegevens toevoegen, met meer partijen samenwerken. In dat geval moet een rechtmatigheidstoets worden uitgevoerd (mag het?) en moet verantwoording worden afgelegd (art. 5 lid 2 AVG). Dan moet verantwoord worden of de herkomst en het vervolggebruik van de persoonsgegevens rechtmatig is. Bij gemeenten mogen persoonsgegevens in de regel niet zomaar voor andere doeleinden worden gebruikt als dat onverenigbaar is met het oorspronkelijke doel. Dat is in strijd met het principe van doelbinding (artikel 5 lid 1 onder b en artikel 6 lid 4 eerste zin AVG) en de geheimhoudingsplicht. Dat gebrek is met een DPIA niet te herstellen. De vraagstelling van de DPIA is daarvoor niet geschikt (Voor een verdieping van dit onderwerp).
Er wordt te vaak naar een DPIA gegrepen. Zoals een collega het uitdrukt: de DPIA is een toverterm geworden voor iedere AVG-beoordeling en is als aanduiding los komen te staan van wat art. 35 AVG in lid 1 regelt (E. Schreuders).
Mijn advies luidt:
Onze toezichthouder, de Autoriteit Persoonsgegevens, is momenteel een lijst aan het opstellen van verwerkingen waarvoor géén DPIA nodig is. Die bevoegdheid is opgenomen in artikel 35 lid 5 AVG:
De toezichthoudende autoriteit kan ook een lijst opstellen en openbaar maken van het soort verwerking waarvoor geen gegevensbeschermingseffectbeoordeling is vereist.
Die procedure is in juni 2026 in gang gezet maar het kan nog wel even duren omdat die lijst eerst voorgelegd moet worden aan de European Data Protection Board (EDPB). Na advies van de EDPB wordt de lijst definitief vastgesteld en na publicatie in de Staatscourant is de lijst met verwerkingen waarvoor geen DPIA vereist is, officieel geldig AP conceptlijst geen DPIA nodig.
Versterk jouw positie als FG in het publieke domein. Leer risicogestuurd toezicht houden, omgaan met bestuurlijke druk en rapporteren met gezag. Na deze 2-daagse cursus heb je een concreet actieplan voor jouw organisatie.
