DPIA

Wat is een DPIA?

DPIA staat voor Data Protection Impact Assessment, in het Nederlands een gegevensbeschermingseffectbeoordeling. Het is een privacytoets die vooraf in kaart brengt wat een verwerking betekent voor de mensen van wie de gegevens worden gebruikt, en welke maatregelen nodig zijn om de risico’s te beperken. De AVG verplicht een DPIA wanneer een verwerking mogelijk een hoog risico oplevert voor de rechten en vrijheden van die mensen. Een pre-DPIA geeft daarover uitsluitsel: daaruit blijkt of een volledige DPIA nodig is.

Hoewel een DPIA een privacyinstrument is, gaat het in de praktijk ook om informatiebeveiliging: de maatregelen van de leverancier worden inhoudelijk beoordeeld. Bij toepassingen met AI kan daarnaast een beoordeling van de gevolgen voor grondrechten worden meegenomen.

Shinrai biedt de volgende vormen van ondersteuning:

• DPIA-proces inrichten: een vaste werkwijze, zodat elke nieuwe of gewijzigde verwerking op dezelfde manier wordt beoordeeld
• Format bepalen: een format voor pre-DPIA en DPIA dat past bij de organisatie
• Pre-DPIA of DPIA uitvoeren: volledig, van voorbereiding tot opvolging
• Lokale DPIA: de vertaling van een centrale DPIA van SIVON naar de eigen organisatie
• DPIA-controle: een inhoudelijke tweede blik op een DPIA die al is uitgevoerd

Wanneer heeft u een DPIA nodig?

Een DPIA komt in beeld bij elke nieuwe of gewijzigde verwerking die een hoog risico kan opleveren. Denk aan het werken met gevoelige gegevens, het verwerken van gegevens van kinderen of andere kwetsbare groepen, of het inzetten van nieuwe technologie zoals AI.

Ondersteuning is vooral zinvol als:

• er een nieuw systeem wordt aangeschaft of een bestaand systeem ingrijpend verandert
• er geen vaste werkwijze is om te bepalen wanneer een DPIA nodig is
• er een centrale DPIA beschikbaar is, maar de vertaling naar de eigen situatie nog ontbreekt
• een DPIA al is uitgevoerd en u zeker wilt weten dat die klopt
• u als leverancier een DPIA wilt laten uitvoeren op uw product

Een DPIA is altijd een verantwoordelijkheid van de verwerkingsverantwoordelijke. Neemt een leverancier het initiatief, dan wordt de DPIA uitgevoerd samen met een organisatie die het product gebruikt.

Waarom Shinrai?

Door het werk aan landelijke DPIA’s weet Shinrai hoe leveranciers hun producten inrichten, waar de risico’s meestal zitten en welke maatregelen in de praktijk haalbaar zijn. Dat maakt het verschil tussen een DPIA die in de la verdwijnt en een DPIA die leidt tot concrete afspraken met de leverancier.

Shinrai beoordeelt niet alleen of een verwerking juridisch klopt, maar ook of de beveiliging op orde is. Het doel is om de restrisico’s zo ver terug te brengen dat een voorafgaande raadpleging bij de Autoriteit Persoonsgegevens niet nodig is.

Hoe Shinrai het aanpakt

Pre-DPIA

De pre-DPIA wordt uitgevoerd op basis van een door Shinrai ontwikkeld format. U ontvangt een rapport met een concreet advies over de noodzaak van een volledige DPIA, en met de risico’s die tijdens de pre-DPIA al zichtbaar zijn geworden.

DPIA

Shinrai begeleidt en voert de DPIA van begin tot eind uit, samen met de mensen die de verwerking het beste kennen: de proces- en systeemeigenaar, een kerngebruiker en, afhankelijk van de toepassing, andere betrokkenen. Ook het overleg met de verwerker loopt via Shinrai. De betrokkenheid van de medezeggenschap is een vast onderdeel.

Een DPIA kent drie fasen. In de voorbereiding worden de verwerking en de betrokken partijen in kaart gebracht. In de uitvoering worden de risico’s beoordeeld en de maatregelen bepaald. De beveiliging wordt daarbij getoetst aan de hand van ROSA, aangevuld met een bredere technische uitvraag bij de leverancier. In de monitoringsfase houdt Shinrai bij of de verwerker de afgesproken maatregelen daadwerkelijk doorvoert. Elke maatregel staat op een actielijst en wordt gevolgd tot hij is afgerond.

Bij toepassingen met AI wordt een beoordeling van de gevolgen voor grondrechten meegenomen als daar aanleiding voor is en u dat wenst.

Lokale DPIA

Voor veel producten in het onderwijs heeft SIVON een centrale DPIA uitgevoerd. Die beoordeelt het product, maar niet hoe uw organisatie het gebruikt. Samen met uw bestuur of samenwerkingsverband vult Shinrai de lokale DPIA in op basis van het format van SIVON. Dat kan voor elke organisatie in de sector, ook als u geen lid bent van SIVON.

DPIA-proces en format

Bij het inrichten van het proces legt Shinrai vast hoe elke nieuwe of gewijzigde verwerking wordt beoordeeld, hoe de uitkomst in het verwerkingsregister terechtkomt, hoe risico’s worden opgevolgd of bewust geaccepteerd, en hoe wordt vastgelegd wanneer het bestuur afwijkt van het advies van de FG. Het format van Shinrai dient daarbij als basis en wordt afgestemd op uw organisatie. Voor schoolbesturen en samenwerkingsverbanden sluit dit direct aan op de normen voor pre-DPIA’s en DPIA’s in het Normenkader IBP.

DPIA-controle

Heeft uw organisatie zelf een DPIA uitgevoerd of laten uitvoeren, dan kan Shinrai de inhoud controleren. U krijgt een onderbouwd oordeel over wat klopt en wat beter kan.

Als Shinrai ook uw FG is

De FG geeft advies over de DPIA en kan die daarom niet zelf uitvoeren. Is Shinrai uw FG, dan wordt de DPIA uitgevoerd door een andere professional van Shinrai.

Afname

Een lokale DPIA wordt uitgevoerd tegen een vaste prijs. Alle andere vormen worden vooraf begroot en afgerekend op basis van de werkelijk gemaakte uren.

Wat het oplevert

Een pre-DPIA geeft een vastgelegde en onderbouwde beslissing of een volledige DPIA nodig is. Een DPIA levert een rapport op met de risico’s, de maatregelen die nodig zijn en de afspraken met de verwerker, en daarna een actielijst waarmee de opvolging zichtbaar blijft. Een ingericht proces zorgt ervoor dat uw organisatie elke nieuwe verwerking op dezelfde manier beoordeelt, zonder dat iemand opnieuw het wiel hoeft uit te vinden.

Zo weet u wat de risico’s zijn, wat eraan wordt gedaan en kunt u dat laten zien aan betrokkenen en toezichthouders.

Samenhang met andere diensten

De FG geeft advies over de DPIA, de PO kan de DPIA als onderdeel van het werk oppakken. Het verwerkingsregister is het startpunt: daarin staat welke verwerkingen er zijn en welke al zijn beoordeeld, en RVV as a Service houdt dat bij. Voor schoolbesturen en samenwerkingsverbanden is de DPIA een onderdeel van het Normenkader IBP FO. Gaat het om een AI-toepassing, dan sluit AI compliance as a Service aan op wat de AI-verordening daarnaast vraagt.