Compliance
DPIA
Een DPIA is een Data Protection Impact Assessment, of gegevensbeschermingseffectbeoordeling. Het is een verplichte risicoanalyse onder de GDPR wanneer een verwerking waarschijnlijk een hoog privacyrisico inhoudt, bijvoorbeeld bij grootschalige monitoring, profiling of gevoelige persoonsgegevens.
DPIA · Ook bekend als: Data Protection Impact Assessment, gegevensbeschermingseffectbeoordeling
Wat is een DPIA en wanneer is die verplicht?
Een Data Protection Impact Assessment (DPIA), in het Nederlands ook gegevensbeschermingseffectbeoordeling, is een verplichte risicoanalyse die organisaties moeten uitvoeren voordat ze een gegevensverwerking starten die een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen. De verplichting vloeit voort uit artikel 35 van de GDPR.
Een DPIA is verplicht bij onder meer grootschalige verwerking van bijzondere categorieën persoonsdata (gezondheid, etnische afkomst, politieke overtuigingen), systematische profilering van individuen en grootschalige monitoring van publiek toegankelijke ruimtes. De GBA heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA sowieso verplicht is in de Belgische context.
DPIA voor AI-toepassingen
AI-systemen scoren op meerdere DPIA-criteria tegelijk. Ze verwerken vaak grote hoeveelheden persoonsdata, ze profileren gebruikers op basis van gedrag en ze nemen of ondersteunen beslissingen die individuen raken, denk aan kredietbeoordeling, personeelsselectie of fraudedetectie. Het gebruik van een AI-tool voor HR-doeleinden in een KMO kan al een DPIA-verplichting triggeren.
Een DPIA bestaat uit een beschrijving van de verwerking, een noodzakelijkheids- en proportionaliteitsbeoordeling, een risicoanalyse voor betrokkenen en geplande maatregelen om die risico's te beperken. Wanneer het residuele risico na maatregelen hoog blijft, moet de GBA vooraf geraadpleegd worden.
Wat betekent DPIA?
Een DPIA is een Data Protection Impact Assessment, of gegevensbeschermingseffectbeoordeling. Het is een verplichte risicoanalyse onder de GDPR wanneer een verwerking waarschijnlijk een hoog privacyrisico inhoudt, bijvoorbeeld bij grootschalige monitoring, profiling of gevoelige persoonsgegevens.