Lees wanneer een DPIA nodig is, hoe je hoog privacyrisico herkent en welke stappen je vóór de verwerking zet.
Wat is een DPIA?
Een gegevensbeschermingseffectbeoordeling beschrijft de verwerking, noodzaak, risico’s voor betrokkenen en maatregelen om die risico’s te beperken. Het is geen formulier achteraf, maar een besluitvormingsinstrument vóór de start of wezenlijke wijziging.
De beoordeling gaat over impact op mensen, zoals discriminatie, verlies van controle, financiële schade, uitsluiting of ongewenste openbaarmaking.
- aard, omvang, context en doel van de verwerking
- noodzaak en proportionaliteit
- risico’s voor rechten en vrijheden
- bestaande en aanvullende maatregelen
- restrisico en besluit over doorgang
Hoe herken je waarschijnlijk hoog risico?
Let op combinaties van grootschalige verwerking, gevoelige gegevens, systematische monitoring, profilering, kwetsbare groepen, nieuwe technologie en besluiten met grote gevolgen.
Controleer ook de officiële AP-lijst met verwerkingen waarvoor een DPIA verplicht is. Die lijst is niet uitputtend: ook een verwerking die er niet op staat kan waarschijnlijk een hoog risico opleveren. Leg de afweging vast als je concludeert dat geen DPIA nodig is.
Controleer ook specifieke wettelijke uitzonderingen. Artikel 35, lid 10, AVG kan bijvoorbeeld van toepassing zijn op een verwerking voor een wettelijke verplichting of publieke taak die al bij de vaststelling van de wet is beoordeeld. Toets alle voorwaarden; alleen een wettelijke grondslag is geen vrijstelling.
Hoe voer je de beoordeling praktisch uit?
Betrek proceseigenaar, privacy, security, leverancier en vertegenwoordigers van de praktijk. Beschrijf de echte gegevensstromen in plaats van alleen het contract of beleid.
Wat als hoog restrisico blijft bestaan?
Blijkt uit de DPIA dat een hoog risico blijft bestaan en kun je geen toereikende maatregelen vinden om dit te beperken? Dan moet de verwerkingsverantwoordelijke de Autoriteit Persoonsgegevens vooraf raadplegen voordat de verwerking begint. Interne risicoacceptatie vervangt deze verplichting niet.
Toets of de verwerking nog overeenkomt met de DPIA, in ieder geval wanneer de risico’s veranderen. Wijzigingen in doel, gegevens, techniek of leverancier kunnen daartoe aanleiding geven. Werk de beoordeling en maatregelen bij waar nodig.
Veelgestelde vragen
Moet een DPIA vóór de start?+
Ja, bij waarschijnlijk hoog risico hoort de beoordeling vóór de verwerking plaats te vinden.
Is een leveranciers-DPIA genoeg?+
Niet automatisch. Jouw doel, inrichting, gegevens en gebruikerscontext bepalen het risico.
Wie is eigenaar van de DPIA?+
De verwerkingsverantwoordelijke blijft verantwoordelijk; privacy, FG en andere experts adviseren.
Gebruikte en geraadpleegde bronnen
Voor feitelijke en tijdgevoelige informatie gebruiken we bij voorkeur primaire bronnen. Controleer bij belangrijke besluiten altijd de actuele officiële publicatie.
- EUR-Lex: AVG, artikelen 35 en 36Geraadpleegd op 20 september 2026
- Autoriteit Persoonsgegevens: officiële lijst verplichte DPIA (Staatscourant)Geraadpleegd op 20 september 2026
Gerelateerde artikelen
Deze uitleg is algemeen en vervangt geen juridische beoordeling of de officiële normtekst.