GDPR – Privacy Impact Assessment

Het instrument voor een privacy impact assessment (PIA) of data protection impact assessment (DPIA) werd geïntroduceerd met de Algemene Verordening Gegevensbescherming (Art. 35 van de AVG). Dit verwijst naar de verplichting van de verwerkingsverantwoordelijke om een impact assessment uit te voeren en deze te documenteren voordat de voorgenomen gegevensverwerking begint. Men kan de beoordelen bundelen voor meerdere verwerkingsprocedures.

In principe moet er altijd een gegevensbeschermingseffectbeoordeling worden uitgevoerd wanneer de verwerking kan leiden tot een hoog risico voor de rechten en vrijheden van natuurlijke personen. De beoordeling moet met name worden uitgevoerd als een van de voorbeeldregels in Art. 35(3) van de AVG van toepassing is. Om de open eindigende bewoording van de wet met betrekking tot de basisverplichting om een privacy-effectbeoordeling uit te voeren te specificeren, zijn de toezichthoudende autoriteiten betrokken. In een eerste ontwerp heeft de Artikel 29-werkgroep een catalogus van tien criteria opgesteld die aangeven dat de verwerking een hoog risico vormt voor de rechten en vrijheden van een natuurlijke persoon. Dit zijn bijvoorbeeld scoring/profilering, automatische beslissingen die leiden tot juridische gevolgen voor de betrokkenen, systematische monitoring, verwerking van bijzondere persoonsgegevens, gegevens die op grote schaal worden verwerkt, het samenvoegen of combineren van gegevens die door verschillende processen zijn verzameld, gegevens over handelingsonbekwame personen of personen met beperkte handelingsbekwaamheid, gebruik van nieuwere technologieën of biometrische procedures, gegevensoverdracht naar landen buiten de EU/EER en gegevensverwerking die de betrokkenen belemmert in het uitoefenen van hun rechten. Een privacy-effectbeoordeling is niet absoluut noodzakelijk als een verwerkingsactiviteit slechts aan één van deze criteria voldoet. Maar als aan meerdere criteria wordt voldaan, wordt verwacht dat het risico voor de betrokkenen hoog is en is een gegevensbeschermingseffectbeoordeling altijd vereist. Bij twijfel en als het moeilijk is om een hoog risico te bepalen, moet toch een DPIA worden uitgevoerd. Dit proces moet minstens elke drie jaar worden herhaald.

Bovendien moeten de nationale toezichthoudende autoriteiten een lijst opstellen en publiceren van verwerkingen die binnen hun rechtsgebied altijd een gegevensbeschermingseffectbeoordeling vereisen (positieve lijst). Ze zijn ook vrij om een lijst te publiceren van verwerkingsactiviteiten die specifiek geen privacy-effectbeoordeling vereisen (negatieve lijst). Als een bedrijf een Functionaris voor Gegevensbescherming heeft aangesteld, moet zijn advies in overweging worden genomen bij het uitvoeren van een DPIA. Hoe en volgens welke criteria de gevolgen en risico’s voor de betrokkenen worden beoordeeld, blijft grotendeels onbeantwoord. De eerste sjablonen werden geleid door de inspectieschema’s van ISO-normen of het Standaardgegevensbeschermingsmodel.