Een DPIA, voluit gegevensbeschermingseffectbeoordeling en in het Engels data protection impact assessment, is de oefening die artikel 35 van de AVG oplegt wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van mensen.
In de praktijk struikelen organisaties over twee dingen: ze weten niet zeker of ze er een nodig hebben, en als ze er een maken, wordt het een beschrijving in plaats van een beoordeling. Beide zijn op te lossen.
Wanneer is een DPIA verplicht?
Artikel 35.3 noemt drie gevallen waarin het sowieso moet:
- systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, met rechtsgevolgen of vergelijkbaar ingrijpende gevolgen, kortweg profilering waar iets van afhangt;
- grootschalige verwerking van bijzondere categorieën (art. 9) of van strafrechtelijke gegevens (art. 10);
- stelselmatige grootschalige monitoring van openbaar toegankelijke ruimten.
Daarnaast publiceert elke toezichthouder een lijst van verwerkingen waarvoor een DPIA verplicht is. Voor België is dat de lijst van de Gegevensbeschermingsautoriteit; daar staan onder meer biometrie, grootschalige gezondheidsgegevens en systematische monitoring van werknemers op.
De negen criteria van de EDPB
Twijfel je? Loop dan de negen criteria uit de richtsnoeren van de Europese toezichthouders af. Vinkt je verwerking er twee of meer aan, dan is een DPIA aangewezen.
- evaluatie of scoring, inclusief profilering en voorspelling;
- geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbaar effect;
- stelselmatige monitoring;
- gevoelige gegevens of gegevens van zeer persoonlijke aard;
- op grote schaal verwerkt;
- matching of samenvoeging van datasets;
- gegevens over kwetsbare betrokkenen: minderjarigen, patiënten, werknemers, mensen in een afhankelijkheidsrelatie;
- innovatief gebruik of toepassing van nieuwe technologie;
- de verwerking belet betrokkenen een recht uit te oefenen of een dienst te gebruiken.
Let vooral op criterium zeven. «Werknemers» telt als kwetsbare groep, omdat er een gezagsverhouding is. Daardoor komen personeelstoepassingen sneller in DPIA-gebied dan mensen verwachten.
Wat moet erin?
Artikel 35.7 vraagt vier dingen. Meer niet, maar die vier moeten er wel echt staan.
- Een systematische beschrijving van de verwerking en het doel, inclusief het gerechtvaardigd belang als je dat inroept.
- Een beoordeling van de noodzaak en de evenredigheid in verhouding tot het doel.
- Een beoordeling van de risico’s voor de rechten en vrijheden van betrokkenen.
- De beoogde maatregelen om die risico’s aan te pakken: waarborgen, beveiligingsmaatregelen en mechanismen die de bescherming van gegevens aantonen.
Punt 1 kun je vrijwel volledig uit je verwerkingsregister halen: doel, rechtsgrond, gegevenscategorieën, betrokkenen, bewaartermijnen, ontvangers, doorgiften, verwerkers. Als dat register goed staat, is de helft van je DPIA schrijfwerk dat je niet meer hoeft te doen.
Punt 2 tot 4 is het echte werk, en dat kan niemand voor je doen.
Stappenplan
Stap 1 · Bepaal de scope
Eén DPIA per verwerking, niet per systeem en niet per afdeling. Lopen meerdere verwerkingen sterk gelijk (bijvoorbeeld drie subsidiestromen met dezelfde gegevensstroom), dan mag je ze samen nemen. Schrijf dan wél op waarom je dat doet.
Stap 2 · Beschrijf de verwerking en teken de gegevensstroom
Waar komen de gegevens binnen, welke systemen raken ze aan, wie kan erbij, waar gaan ze naartoe, en wanneer worden ze vernietigd? Een eenvoudig schema is hier meer waard dan drie pagina’s proza.
Stap 3 · Toets noodzaak en evenredigheid
Dit is het blok dat het vaakst te licht is. Vier vragen: haal je je doel niet met minder gegevens? Bestaat er een minder ingrijpend alternatief, en waarom kies je daar niet voor? Is de bewaartermijn onderbouwd of overgenomen? Wat verwacht de betrokkene redelijkerwijs?
Stap 4 · Breng de risico’s in kaart
Denk vanuit de betrokkene, niet vanuit je organisatie. Wat kan er met déze persoon gebeuren? Discriminatie, identiteitsdiefstal, financieel verlies, reputatieschade, verlies van controle over zijn gegevens, uitsluiting van een dienst.
Schat per risico kans en impact in, en doe dat twee keer: het brutorisico zonder maatregelen, en het restrisico met je maatregelen erbij. Zonder dat verschil kun je niet aantonen dat je maatregelen ergens toe dienen.
Stap 5 · Bepaal de maatregelen en de eigenaar
Elke maatregel krijgt iemand met een naam en een datum. Een maatregel zonder eigenaar is een voornemen.
Stap 6 · Vraag het advies van de DPO
Heb je een DPO, dan is dat verplicht (art. 35.2), en zijn advies hoort schriftelijk in het dossier. Je mag ervan afwijken, maar dan noteer je waarom. Ook dat is aantoonbaarheid. Twijfel je of je een DPO nodig hebt, lees dan interne of externe DPO.
Stap 7 · Besluit, en kijk of art. 36 speelt
Blijft het restrisico ondanks je maatregelen hoog, dan moet je de Gegevensbeschermingsautoriteit voorafgaand raadplegen (art. 36) vóór je met de verwerking start. Dat is geen formaliteit en het duurt weken. Reken erop in je planning.
Stap 8 · Zet een hertoetsing in je agenda
Een DPIA is geen eenmalig document. Verandert de verwerking, of komt er nieuwe technologie bij, dan kijk je opnieuw. Een jaarlijkse hertoetsing is een redelijk uitgangspunt.
Vijf valkuilen
- Beschrijven in plaats van beoordelen. Een DPIA die alleen vertelt wat er gebeurt, is een register met meer woorden. De vraag is of het mag en of het proportioneel is.
- Achteraf maken. Artikel 35 zegt «voorafgaand aan de verwerking». Een DPIA voor een systeem dat al draait, is een verantwoording.
- Risico’s voor de organisatie opschrijven. Boetes en reputatieschade voor jou horen er niet in. Het gaat om de betrokkene.
- Eén restrisico zonder brutorisico. Dan is niet zichtbaar wat je maatregelen doen.
- Loskoppelen van het register. Verandert het register, dan verandert de DPIA mee. Anders beoordeel je na een jaar iets wat niet meer bestaat.
En bij AI-systemen?
Dan komt er mogelijk een tweede beoordeling bij. Gebruik je een hoogrisicosysteem onder bijlage III van de AI-verordening én ben je een publieke dienst, dan geldt vanaf december 2027 ook de grondrechteneffectbeoordeling van artikel 27. Die vervangt je DPIA niet: ze vult hem aan.
In één tool in plaats van in negen Excel-bestanden
Het DPO-dossier houdt je verwerkingsregister, je risico’s en je DPIA’s bij in één versleuteld bestand op je eigen computer. Geen cloud, geen account, geen abonnement op een server waar jouw volledige gegevenskaart op staat. Je probeert het dertig dagen gratis, zonder kredietkaart en zonder automatische verlenging.
Liever eerst samen kijken waar je staat? Bekijk mijn aanpak rond privacy en GDPR of doe de gratis GDPR-scan. Je krijgt binnen 24 uur een eerste inschatting, gratis en zonder verplichtingen.
Feiten laatst gecontroleerd op 13 augustus 2026. Dit artikel is algemene informatie en geen juridisch advies over jouw specifieke situatie.
