{"id":7684,"date":"2025-01-09T14:49:09","date_gmt":"2025-01-09T14:49:09","guid":{"rendered":"https:\/\/www.cranium.eu\/?p=7684"},"modified":"2026-09-29T08:54:39","modified_gmt":"2026-09-29T07:54:39","slug":"wat-is-een-dpia-en-wanneer-heb-je-er-een-nodig","status":"publish","type":"post","link":"https:\/\/www.cranium.eu\/nl\/wat-is-een-dpia-en-wanneer-heb-je-er-een-nodig\/","title":{"rendered":"Wat is een DPIA en wanneer heb je er een nodig?"},"content":{"rendered":"\n<figure class=\"wp-block-embed is-type-video is-provider-vimeo wp-block-embed-vimeo wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe title=\"Wat is een DPIA en wanneer is die nodig? | GDPR 101\" data-src=\"https:\/\/player.vimeo.com\/video\/1043396192?dnt=1&amp;app_id=122963\" width=\"1000\" height=\"563\" frameborder=\"0\" allow=\"autoplay; fullscreen; picture-in-picture; clipboard-write; encrypted-media; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" src=\"about:blank\" class=\"lazyload\" data-load-mode=\"0\"><\/iframe>\n<\/div><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Wat is een DPIA (Data Protection Impact Assessment<\/strong>)<strong>?<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Een <strong>Data Protection Impact Assessment<\/strong> (of in het Nederlands: Gegevensbeschermingseffectbeoordeling) is een soort verplichte risicoanalyse. Het draait om het in kaart brengen van risico\u2019s bij het verwerken van persoonsgegevens in specifieke situaties. Een DPIA gaat namelijk verder dan een gewone risicoanalyse: het is een wettelijk verplichte variant voor situaties waarin de risico\u2019s rond de persoonsgegevens die je verwerkt extra hoog zijn.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Heel kort samengevat ga je in een DPIA onderzoeken:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Welke gegevens je verwerkt<\/strong><\/li>\n\n\n\n<li><strong>Waarom je die verwerkt<\/strong><\/li>\n\n\n\n<li><strong>Welke risico\u2019s dit met zich meebrengt<\/strong><\/li>\n\n\n\n<li><strong>Of er gepaste maatregelen zijn genomen om deze risico\u2019s af te dekken<\/strong><\/li>\n\n\n\n<li><strong>Indien die is aangesteld, wat je Data Protection Officer (DPO) ervan vindt<\/strong><\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Een DPIA verplicht je in die zin om verantwoord om te gaan met privacyrisico\u2019s.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Wanneer moet je een DPIA uitvoeren?<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Alleereerst kun je kijken naar de lijsten die zijn opgesteld door gegevensbeschermingsautoriteiten zoals die van de GBA in Belgi\u00eb of de AP in Nederland. Deze lijsten bevatten criteria om te bepalen of een DPIA verplicht is, of dat een DPIA aangewezen is. &nbsp;Bijvoorbeeld<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Als je verwerking voldoet aan \u00e9\u00e9n van de 8<strong> verplichte punten<\/strong> op de <a href=\"https:\/\/lijst\">lijst<\/a> van de GBA, <strong>moet<\/strong> je in Belgi\u00eb altijd een DPIA uitvoeren.<\/li>\n\n\n\n<li>De <strong>Europese Data Protection Board<\/strong> (EDPB) heeft ook <a href=\"https:\/\/richtlijnen\">richtlijnen<\/a> opgesteld. Als je aan meerdere criteria voldoet, is het sterk aan te raden een DPIA uit te voeren.<\/li>\n<\/ul>\n\n\n\n<hr class=\"wp-block-separator has-alpha-channel-opacity\"\/>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Wat als je buiten deze situaties valt<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Daarnaast moet je ook kijken naar de algemene omschrijving uit artikel 35 van de GDPR. De wet schrijft namelijk ook contexten voor waarin een DPIA uitgevoerd moet worden, maar die zijn aanzienlijk algemener dan die uit het vorige hoofdstuk:<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>1. Bij systematische en uitgebreide evaluatie van personen<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Dit geldt vooral als je gebruik maakt van <strong>geautomatiseerde processen<\/strong> die een belangrijk effect kunnen hebben op betrokkenen. Denk bijvoorbeeld aan een bank die een geautomatiseerde tool gebruikt om hypotheekaanvragen te beoordelen. Zo\u2019n systeem bepaalt met \u00e9\u00e9n druk op de knop of een aanvraag wordt goedgekeurd.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Omdat dit grote gevolgen heeft voor de betrokkenen, is een DPIA hier verplicht. Het doel? Zeker weten dat je zorgvuldig met de gegevens en de rechten van betrokkenen omgaat.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>2. Bij verwerking van bijzondere categorie\u00ebn van gegevens op grote schaal<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Sommige persoonsgegevens zijn extra gevoelig. Denk aan gezondheidsgegevens, seksuele geaardheid, politieke overtuiging of strafrechtelijke gegevens. Als je deze gegevens op grote schaal verwerkt, is een DPIA noodzakelijk.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Maar wat is \u2018grote schaal\u2019? Dat hangt enorm af van de context:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Bij een verwerking waarbij alle medewerkers van een klein bedrijf met 200 medewerkers zijn betrokken kan dit al grote schaal zijn.<\/li>\n\n\n\n<li>Voor een verwerking op niveau van een overheid&nbsp;&nbsp; hoeft een paar duizend inwoners nog steeds geen grote schaal te zijn.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Omdat dit nogal subjectief is, is het verstandig om hierover te overleggen met je privacycollega\u2019s of je DPO.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\"><strong>3. Bij systematische monitoring van publiek toegankelijke plaatsen<\/strong><\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Gebruik je bijvoorbeeld bewakingscamera\u2019s of gezichtsherkenning? Dit soort monitoring valt onder de derde verplichte situatie voor een DPIA. Denk aan een winkelcentrum dat beveiligingscamera\u2019s heeft die elke beweging registreren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Deze toepassingen raken direct de privacy van mensen en vereisen daarom extra aandacht.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Hoe voer je een DPIA uit?<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Een DPIA is niet zomaar een checklist die je afvinkt, in de schuif achterlaat en dan nooit meer bekijkt. Een DPIA bestaat uit een heel proces dat meerdere afdelingen binnen je organisatie raakt. Denk aan:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Privacycollega\u2019s of je DPO:<\/strong> Zij geven advies en bewaken de naleving van de wet.<\/li>\n\n\n\n<li>Afdelingen zoals &nbsp;IT, HR of Marketing<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">De stappen in een DPIA:<\/p>\n\n\n\n<ol start=\"1\" class=\"wp-block-list\">\n<li><strong>Beschrijven van de verwerking:<\/strong> Welke gegevens worden verwerkt en waarom?<\/li>\n\n\n\n<li>Beoordeling van de noodzaak en proportionaliteit: kan het doeleinde op een minder privacy-invasieve manier worden bereikt? Zijn alle persoonsgegevens echt noodzakelijk?<\/li>\n\n\n\n<li><strong>Analyseer de risico\u2019s voor de rechten van individuen:<\/strong> Wat kan er misgaan, en wie loopt welk risico?<\/li>\n\n\n\n<li><strong>Neem maatregelen:<\/strong> Hoe behandel je deze je deze risico\u2019s?<\/li>\n\n\n\n<li><strong>Documenteer je bevindingen:<\/strong> Zorg dat alles duidelijk en transparant is vastgelegd.<\/li>\n\n\n\n<li><strong>Volg goed op<\/strong>: een DPIA is geen statisch document, verwerkingen en situaties zijn onderhevig aan veranderingen en het is dus belangrijk periodiek eens te beoordelen of de informatie in je DPIA nog actueel is.<\/li>\n<\/ol>\n\n\n\n<h2 class=\"wp-block-heading\"><strong>Samenvattend<\/strong><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Een DPIA is een krachtige tool om risico\u2019s bij het verwerken van persoonsgegevens te beperken. Hoewel het niet altijd verplicht is, is het een onmisbaar hulpmiddel om privacyregels na te leven.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Onthoud:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Raadpleeg altijd de lijsten van je autoriteit of de adviezen van &nbsp;je DPO als je twijfelt of een DPIA verplicht is<\/li>\n\n\n\n<li>Vergeet niet dat er ook nog andere situaties kunnen zijn die de wet omschrijft, waarbij een DPIA sterk aangewezen of nuttig kan zijn.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Door op tijd een DPIA uit te voeren, bescherm je niet alleen je organisatie, maar ook de privacy van alle betrokkenen. Succes!<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Wat is een DPIA (Data Protection Impact Assessment)? Een Data Protection Impact Assessment (of in het Nederlands: Gegevensbeschermingseffectbeoordeling) is een soort verplichte risicoanalyse. Het draait om het in kaart brengen van risico\u2019s bij het verwerken van persoonsgegevens in specifieke situaties. Een DPIA gaat namelijk verder dan een gewone risicoanalyse: het is een wettelijk verplichte variant [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":7705,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[49,80],"tags":[54],"post_folder":[],"class_list":["post-7684","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogbericht","category-video","tag-privacy"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/posts\/7684","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/comments?post=7684"}],"version-history":[{"count":2,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/posts\/7684\/revisions"}],"predecessor-version":[{"id":19915,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/posts\/7684\/revisions\/19915"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/media\/7705"}],"wp:attachment":[{"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/media?parent=7684"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/categories?post=7684"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/tags?post=7684"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/www.cranium.eu\/nl\/wp-json\/wp\/v2\/post_folder?post=7684"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}