Proactive

Weten met welke risico’s een verwerking gepaard gaat en hier ook passende maatregelen voor treffen, is het doel van een data protection impact assessment. Een eerste stap is het verkennen of er een uitgebreide DPIA moet worden uitgevoerd. Is dat het geval dan vindt een inventarisatie van de risico’s plaats en een analyse van de maatregelen om risico’s in te perken. Kan dit laatste niet (of niet afdoende) dan is contact met de AP noodzakelijk voor de verwerking kan beginnen.

Een goede bescherming van persoonsgegevens begint bij het ontwerp van een nieuw systeem. Die bescherming kan zich richten op de gegevensstroom en op organisatorische maatregelen. In een overzichtelijk schema dat is ontwikkeld aan de Radboud Universiteit staan alle gepaste technische en organisatorische maatregelen bij elkaar:

De samenwerkende Europese toezichthouders geven aan hoe je kunt bepalen of een verwerking van persoonsgegevens een hoog risico voor de betrokkenen inhoudt.  Het is goed om je te realiseren dat dit een eerste aanzet is. Het is ‘werk in uitvoering’.  De Nederlandse toezichthouder heeft deze aanpak overgenomen.

Als je op twee of meer van onderstaande rubrieken bevestigend antwoordt, is een DPIA noodzakelijk:

Maar let op! De AVG geeft aan dat bij de volgende drie situaties het altijd noodzakelijk is een DPIA uit te voeren. Voor die gevallen is één bevestigend antwoord dus al voldoende.