Art. 8.7 Privacybeleid gemeente Borne 2023

Als een verwerking mogelijk een hoog risico inhoudt voor de privacy van betrokkene, moet de gemeente een beoordeling uitvoeren van het effect van een verwerking van persoonsgegevens. De gemeente voert in dat geval een gegevensbeschermingseffectbeoordeling (ook wel Data Processing Impact Assessment of DPIA genoemd) uit. Als uit de DPIA blijkt dat er inderdaad hoge risico’s zijn verbonden aan de verwerking, moet de gemeente voldoende maatregelen nemen om de risico’s te verminderen. Het management is verantwoordelijk voor het maken van keuzes op het gebied van privacyrisico's, zoals het treffen van mitigerende maatregelen en het accepteren van restrisico's. Als het niet lukt om (voldoende) maatregelen te nemen om dit risico te beperken, dan moet de gemeente met de AP overleggen, voordat zij met de verwerking start. Dit wordt een voorafgaande raadpleging genoemd. De FG geeft een advies op de uitgevoerde DPIA en kan in het kader van toezicht controleren in hoeverre de voorgestelde maatregelen zijn opgevolgd. Gemeente Borne heeft een werkproces ingericht voor het uitvoeren van een DPIA. Of een DPIA moet worden uitgevoerd, wordt bepaald met behulp van de checklist DPIA. Hierbij worden de richtlijnen van de Autoriteit Persoonsgegevens gevolgd. De Autoriteit Persoonsgegevens heeft een lijst opgesteld met verwerkingen waarvoor een DPIA verplicht is. Daarnaast heeft de Autoriteit Persoonsgegevens een lijst van negen criteria opgesteld om te bepalen of er sprake kan zijn van een hoog privacyrisico. Hierbij is de vuistregel dat een DPIA uitgevoerd dient te worden als de verwerking aan twee of meer van de criteria voldoet, maar ook in andere gevallen kan een (vorm van een) DPIA wenselijk zijn. De FG adviseert hierbij. DPIA’s kunnen worden uitgevoerd voor bestaande en nieuwe verwerkingen. Voor bestaande verwerkingen voert de gemeente Borne DPIA’s uit volgens een vastgestelde planning. Hierdoor ontstaat een cyclus van drie jaar, waarbij de DPIA’s iedere drie jaar herhaald worden. Dit is tevens de termijn die de Autoriteit Persoonsgegevens aanraadt voor herhaling van de DPIA. Voor nieuwe of gewijzigde verwerkingen geldt dat voorafgaande aan de verwerking of wijziging een DPIA moet worden uitgevoerd.

Rechtspraak bij dit artikel