Wanneer een verwerking van persoonsgegevens waarschijnlijk een hoog privacy risico oplevert, dient voorafgaand aan de start van deze verwerking een DPIA uitgevoerd te worden. Hiermee worden de privacyrisico's vooraf in kaart gebracht. Op basis van deze risicoanalyse kunnen relevante maatregelen worden genomen om de onderkende risico's terug te brengen naar een acceptabel niveau.
De gemeente is verplicht om een DPIA uit te voeren indien het gaat om een hoog risicoverwerking. De AVG geeft globaal aan wanneer daar sprake van is. De gezamenlijke Europese toezichthouders hebben aanvullende richtsnoeren met 9 criteria opgesteld om te bepalen of sprake is van een hoog risico. Vuistregel is dat een DPIA moet worden uitgevoerd als aan minimaal 2 van deze 9 criteria wordt voldaan. De richtsnoer geldt als verduidelijking van de AVG. De door de Europese toezichthouder geformuleerde negen criteria of voor een verwerking een DPIA uitgevoerd moet worden bieden goede uitgangspunten bij de inhoudelijke beoordeling van de verwerking.
De gemeente categoriseert de DPIA’s op onderwerp of type verwerking, zoals bijvoorbeeld cameratoezicht of (marketing) onderzoek. Voor verwerkingen die ‘gebundeld’ kunnen worden, kan een overkoepelende DPIA worden uitgevoerd. Hiervoor geldt wel dat de overkoepelende DPIA uitgebreider is dan voor risicovolle verwerkingen die niet gecategoriseerd kunnen worden. In overkoepelende DPIA’s zal namelijk met meer factoren rekening moeten worden gehouden.
Er is tactisch uitvoeringsbeleid over het uitvoeren van een DPIA opgesteld. Dit beleid is voor intern gebruik en is voor de medewerkers van de gemeente terug te vinden op het (interne) intranet. Daarnaast zijn op operationeel niveau (deel)processen met onder andere taken, rollen en verantwoordelijkheden vastgesteld met werkinstructies voor medewerkers. Deze zijn voor de medewerkers van de gemeente terug te vinden in het (interne) processenhuis van de gemeente.
Hoofdstuk 3
Artikel 3.4
Data Protection Impact Assessment (DPIA)
Onderdeel van Strategisch privacybeleid Gemeente Eindhoven