Voorafgaande raadpleging bij de AP: wanneer is die nodig?

Een voorafgaande raadpleging is de stap die volgt wanneer uit uw DPIA blijkt dat er een hoog risico overblijft dat u zelf niet kunt wegnemen. U legt de verwerking dan voor aan de Autoriteit Persoonsgegevens voordat u begint.

Kort samengevat

• Het is de uitzondering, niet de regel. In verreweg de meeste gevallen brengen maatregelen het risico voldoende omlaag.
• De trigger is het restrisico. Hoog risico dat u niet kunt beperken, niet hoog risico op zichzelf.
• U mag niet vast beginnen. De raadpleging is voorafgaand, en dat is letterlijk bedoeld.
• Reken op acht weken, mogelijk veertien. Plan dat in vanaf het begin van het project.
• Het levert ook iets op. Een verwerking die deze toets doorstaat, staat daarna aanzienlijk steviger.

Van alle verplichtingen rond de DPIA is dit de minst gebruikte. Dat komt deels doordat hij zelden nodig is, en deels doordat organisaties er alles aan doen om hem te vermijden. Dat laatste is begrijpelijk maar niet altijd verstandig.

Wanneer is een voorafgaande raadpleging nodig?

De AVG stelt één voorwaarde, en die is scherper dan vaak wordt gedacht. U raadpleegt de toezichthouder wanneer uit de gegevensbeschermingseffectbeoordeling blijkt dat de verwerking een hoog risico zou opleveren indien u geen maatregelen neemt om het risico te beperken.

De kern zit in dat laatste. Het gaat niet om de vraag of de verwerking risicovol is, want dan zou elke DPIA hierop uitkomen. Het gaat om de vraag of u het risico met redelijke maatregelen terug kunt brengen tot een aanvaardbaar niveau. Lukt dat, dan gaat u door zonder raadpleging. Lukt dat niet, dan is de raadpleging verplicht.

Dat maakt de kwaliteit van uw maatregelenanalyse doorslaggevend. Een oppervlakkige analyse leidt te snel tot de conclusie dat er niets meer te doen valt, en een te optimistische analyse leidt tot een restrisico dat op papier laag is en in werkelijkheid niet.

Hoe bepaalt u of het restrisico echt hoog is?

Weeg twee dingen: hoe erg is het als het misgaat voor de mensen om wie het gaat, en hoe waarschijnlijk is dat. Kijk daarbij naar de situatie na uw maatregelen, niet ervoor.

Een paar signalen dat u richting een hoog restrisico gaat. De gevolgen zijn onomkeerbaar, bijvoorbeeld bij het uitlekken van medische of strafrechtelijke gegevens. De betrokkenen kunnen zich er niet aan onttrekken, bijvoorbeeld omdat het om een wettelijke taak gaat. Er is sprake van kwetsbare groepen. Of de technologie is zo nieuw dat u de gevolgen eerlijk gezegd niet goed kunt overzien.

Komt u op zo’n punt uit, verzin dan geen maatregel die het probleem alleen op papier oplost. Een verwerkersovereenkomst is bijvoorbeeld een noodzakelijke maatregel maar geen risicobeperkende maatregel in technische zin: hij verandert niets aan wat er feitelijk met de gegevens kan gebeuren.

Hoe verloopt de procedure?

U dient een verzoek in bij de Autoriteit Persoonsgegevens en levert daarbij de informatie aan die de AVG noemt.

1. De rolverdeling. Wie is verwerkingsverantwoordelijke, wie zijn er verder betrokken, en hoe zijn de verantwoordelijkheden verdeeld.
2. Doel en middelen. Wat wilt u bereiken en op welke manier.
3. De maatregelen. Welke waarborgen heeft u getroffen om de rechten van betrokkenen te beschermen.
4. De contactgegevens van de FG. Als u er een heeft.
5. De DPIA zelf. Het volledige rapport.

De toezichthouder heeft daarna acht weken om schriftelijk advies te geven. Bij complexe verwerkingen kan die termijn met zes weken worden verlengd, en de klok kan stilstaan zolang er aanvullende informatie wordt opgevraagd. Reken in uw planning dus op een kwartaal, niet op twee maanden.

Wat gebeurt er met het advies?

Het advies is geen vergunning en ook geen besluit waartegen u in bezwaar gaat. Het is een schriftelijk oordeel met aanbevelingen. Maar de toezichthouder heeft naast advies ook bevoegdheden, waaronder het opleggen van een verwerkingsverbod. Een negatief advies negeren is daarmee praktisch geen optie.

Wat er in de praktijk gebeurt, is dat het advies leidt tot aanpassingen in het ontwerp. Dat is precies de bedoeling van de figuur. En dat verklaart ook waarom een raadpleging niet alleen last is: een verwerking die deze toets heeft doorstaan, staat later aanmerkelijk steviger als er vragen komen of als er iets misgaat.

Hoe voorkomt u dat u hier onnodig terechtkomt?

Door vroeg te beginnen. De meeste situaties waarin een hoog restrisico blijft staan, ontstaan doordat de beoordeling pas is gedaan toen het systeem al was gekozen en gebouwd. Dan zijn de maatregelen die het risico echt zouden verlagen, zoals minder gegevens verzamelen of een andere architectuur kiezen, niet meer beschikbaar.

Voer de beoordeling daarom uit tijdens het ontwerp. In ons artikel over wanneer u een DPIA uitvoert staat wanneer de plicht ontstaat, en in het stappenplan voor een DPIA leest u hoe u de beoordeling opzet. Wilt u de afweging over het restrisico laten toetsen voordat u de AP benadert, dan is juridisch privacy advies daarvoor de kortste route, en kan een DPIA door een externe jurist het oordeel onderbouwen.