Een DPIA is niet altijd nodig. Pas wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van mensen, is een DPIA verplicht. Dat staat in artikel 35 van de AVG, en de beoordeling ligt bij u.
Kort samengevat
- De maatstaf is waarschijnlijk hoog risico. Niet zeker, en niet alleen bij grote organisaties.
- Drie situaties staan in de wet. Systematische beoordeling, grootschalige bijzondere gegevens en grootschalige monitoring van openbare ruimte.
- De AP heeft een eigen lijst. Staat uw verwerking daarop, dan is een DPIA sowieso verplicht.
- Vooraf, niet achteraf. De beoordeling hoort te gebeuren voordat de verwerking start.
- Ook een negatieve uitkomst legt u vast. De onderbouwing waarom het niet nodig is, heeft u nodig als er vragen komen.
De vraag wanneer een DPIA verplicht is, is de meest gestelde vraag over dit onderwerp. Dat komt doordat de wet met open normen werkt en er dus altijd een afweging bij komt kijken. Wie die afweging goed vastlegt, staat sterk, ook als de uitkomst is dat er geen DPIA nodig was.
Wanneer is een DPIA verplicht volgens de AVG?
Artikel 35 noemt drie situaties waarin een beoordeling in elk geval nodig is.
- Systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering, waaraan gevolgen voor de betrokkene zijn verbonden. Denk aan kredietbeoordeling, risicoprofilering en geautomatiseerde selectie van kandidaten.
- Grootschalige verwerking van bijzondere categorieën persoonsgegevens of van strafrechtelijke gegevens. Gezondheidsgegevens in de zorg zijn hiervan het bekendste voorbeeld.
- Stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimte. Cameratoezicht in winkelgebieden of op stations valt hieronder.
Die drie zijn een ondergrens, geen uitputtende lijst. Buiten deze gevallen moet u zelf beoordelen of er sprake is van een waarschijnlijk hoog risico.
Welke lijst hanteert de Autoriteit Persoonsgegevens?
De AP heeft een lijst gepubliceerd met soorten verwerkingen waarvoor een DPIA hoe dan ook verplicht is. Daar staan onder meer op: heimelijk onderzoek, zwarte lijsten, grootschalige verwerking van locatiegegevens, cameratoezicht op werknemers, verwerking van gezondheidsgegevens door zorgverleners en het gebruik van biometrie voor identificatie.
Staat uw verwerking op die lijst, dan is de discussie klaar en voert u een DPIA uit. Staat hij er niet op, dan bent u nog niet vrij: de lijst is aanvullend op de wet, niet in plaats daarvan.
De AP heeft in 2026 bovendien reacties gevraagd op mogelijke uitzonderingen op de DPIA-plicht. Wat daar precies uit komt is nog niet definitief, en tot die tijd verandert er niets aan uw verplichtingen. In ons bericht over de DPIA-uitzonderingen waar de AP reacties op vroeg leest u waar dat over ging.
Hoe beoordeelt u het zelf?
Voor de gevallen die niet op een lijst staan, wordt in de praktijk gewerkt met negen criteria die door de Europese privacytoezichthouders zijn opgesteld. Voldoet uw verwerking aan twee of meer daarvan, dan is een DPIA in beginsel aangewezen.
- Evaluatie of scoretoekenning, waaronder profilering.
- Geautomatiseerde besluitvorming met rechtsgevolg of vergelijkbaar gevolg.
- Stelselmatige monitoring.
- Gevoelige gegevens of gegevens van zeer persoonlijke aard.
- Grootschaligheid.
- Het koppelen of combineren van datasets.
- Gegevens over kwetsbare betrokkenen, zoals kinderen, patiënten of werknemers.
- Innovatief gebruik of toepassing van nieuwe technologie.
- Verwerking die betrokkenen belet een recht uit te oefenen of een dienst af te nemen.
Let op het criterium kwetsbare betrokkenen. Werknemers vallen daaronder, omdat er een gezagsverhouding is. Dat betekent dat verwerkingen rond personeel sneller in beeld komen dan organisaties verwachten, en dat het personeelsdossier onder de AVG serieuzer weegt dan het gevoel zegt.
Wat betekent grootschalig?
Het begrip grootschalig komt in meerdere criteria terug en is nergens in een getal uitgedrukt. Dat is bewust, maar het maakt de beoordeling wel lastig. In de praktijk weegt u vier dingen tegen elkaar af.
Het aantal betrokkenen, in absolute zin of als aandeel van de betreffende bevolkingsgroep. De hoeveelheid gegevens per persoon en de verscheidenheid daarvan. De duur van de verwerking, want een doorlopende verwerking weegt zwaarder dan een eenmalige. En de geografische reikwijdte.
Een huisartsenpraktijk die de dossiers van haar eigen patiënten bijhoudt, geldt uitdrukkelijk niet als grootschalig; dat is in de AVG zelf als uitzondering benoemd. Een zorggroep die dezelfde gegevens voor tientallen praktijken centraal verwerkt, komt er wel snel aan toe. Twijfelt u, ga dan uit van grootschalig en laat de beoordeling het tegendeel aantonen, niet andersom.
Wat als u concludeert dat het niet nodig is?
Leg die conclusie dan vast, met de onderbouwing erbij. Dit is de stap die het vaakst wordt overgeslagen, en het is precies de stap die u nodig heeft als er later een vraag komt.
Een korte notitie volstaat: welke verwerking, welke criteria u heeft gewogen, waarom u tot de conclusie komt dat het risico niet waarschijnlijk hoog is, wie die afweging heeft gemaakt en op welke datum. Hang die notitie aan uw register van verwerkingen, want daar staat de verwerking toch al in. Waarom u dat register bijhoudt, legden wij uit in waarom u een register van verwerkingen bijhoudt.
Wanneer voert u de beoordeling uit?
Vooraf. De DPIA hoort onderdeel te zijn van het ontwerp, niet van de oplevering. Dat is niet alleen een juridisch punt maar vooral een praktisch punt: maatregelen die u tijdens het ontwerp kunt nemen, zijn na de bouw vaak niet meer haalbaar of veel duurder.
In de praktijk betekent dat: zodra u een nieuw systeem overweegt, een nieuwe leverancier selecteert of een bestaand proces wezenlijk verandert. Twijfelt u of uw specifieke situatie eronder valt, dan geeft de DPIA-check snel een eerste indicatie en kunt u met juridisch privacy advies de afweging laten toetsen.
