Het uitvoeren van Data Protection Impact Assessments (DPIA’s) is een verplichting die volgt uit de AVG en Wpg. Onderdeel daarvan is dat de FG om advies wordt gevraagd bij de opgestelde concept-DPIA. Voor deze FG advisering bij DPIA’s geldt op hoofdlijnen het navolgende proces:
Als door de verantwoordelijk manager voor een verwerking wordt bepaald dat een DPIA niet verplicht is, wordt de FG daarover geïnformeerd. Als de FG daartoe aanleiding ziet, kan de FG binnen één week hierover adviseren.
Voor verwerkingen waarvoor een concept-DPIA gereed is, wordt die beschikbaar gesteld aan de FG. De FG geeft in een overleg hierover een eerste informeel advies.
Op basis van het overleg met de FG wordt de DPIA al dan niet aangepast of aangevuld en aan de FG toegezonden voor een formeel schriftelijk advies.
De FG adviseert over de DPIA. Als de FG geen aanvullende adviezen heeft, wordt het reguliere proces voor afronding van de DPIA en uitvoering van de eventuele maatregelen in gang gezet.
Als de verantwoordelijk manager voornemens is het advies van de FG (deels) niet op te volgen of als er verhelderingsvragen zijn, wordt het proces gevolgd zoals beschreven onder artikel 2 van deze regeling.
Artikel 7
De advisering van de FG over uitgevoerde DPIA’s.
Onderdeel van Regeling Functionaris Gegevensbescherming (FG) Gemeente Eindhoven