Wat was er aan de hand?
Op grond van de AVG moeten DPIA’s worden uitgevoerd als aan voorwaarden uit de AVG is voldoen, als de functionaris gegevensbescherming van mening is dat een DPIA moet worden uitgevoerd, of als een organisatie behoefte heeft om een DPIA aan een gegevensverwerking ten grondslag te leggen.
Tijdens werkzaamheden bij een netbeheerder werd gewerkt met een DPIA die al maanden in ontwikkeling was. Daarnaast was het DPIA enorm uitgebreid geworden. Ook werd duidelijk dat de business (die op grond van de AVG de verantwoordelijke is van de verwerking) onvoldoende sturing en grip had met dit model; het was onvoldoende voorspelbaar. Daarbij speelde dat alle processen in het processenhuis van de netbeheerder (>100) beoordeeld moesten worden.
Wat is er verbeterd?
Allereerst is gekozen is om niet een compleet nieuw model op te zetten, maar te gaan werken met een bruikbaar en liefst ‘gevalideerd’ model. Het is het model dat door de Nederlands regering wordt gebruikt en waarover de regering de Tweede Kamer over heeft geïnformeerd. Het is daarmee een min of meer ‘gevalideerd’ model.
Om te voorkomen dat er ‘te snel’ naar een DPIA zou worden gegrepen is er een DPIA pre-check ontwikkeld op basis van de AVG, de UAVG en de guidance papers van de Europese organisatie van privacy toezichthouders. De DPIA pre-check bepaalt of een andere vorm van risicobeoordeling ook volstaat.
Tot slot is er een genuanceerdere risico-matrix ontwikkeld. Daarmee kregen de business owners (de feitelijke verwerkingsverantwoordelijken binnen de organisatie) duidelijker een beeld op welke manier ze risico’s voor de betrokken kunnen terugbrengen tot wat de AVG een ‘acceptabel’ niveau noemt.
Samengevat:
Wat was het resultaat?
Door de aanpak ontstond allereerst een consistent beeld over hoe er stapsgewijs zwaardere risico-beoordelingen worden ingezet. Met de DPIA als zwaarste model. Daarnaast werd het voor de business als verwerkingsverantwoordelijke mogelijk om zelf meer regie te pakken op het invullen van een DPIA. Daardoor konden privacy officers meer in hun rol stappen als adviseur. Tot slot nam de impact van de controles af doordat er sneller een DPIA of andere risicoanalyse kon worden uitgevoerd, waardoor het voldoen aan de AVG effectiever, efficiënter en eenvoudiger werd.
