DPIA

Hoe weet je als onderzoeker nou of je alle maatregelen hebt getroffen om de persoonsgegevens in jouw onderzoek zo goed mogelijk te beschermen? Daarvoor gebruik je een Data Protection Impact Assessment (DPIA). In het Nederlands: een 'gegevensbeschermings-effectbeoordeling'.

Een DPIA kun je het beste vergelijken met een stoplicht. De DPIA omvat een serie vragen die laten zien op welke punten in jouw onderzoeksopzet het licht op groen, oranje of rood gaat qua omgang met persoonsgegevens. Op deze pagina leggen we je uit hoe dat werkt.


Waarom?

Binnen de AVG funcioneert een DPIA als risico-assessment. Het is een gestructureerde manier om risico's met betrekking de omgang met persoonsgegevens binnen een onderzoek naar boven te krijgen. Door alle vragen in de DPIA samen met een privacy-expert in jouw organisatie te beantwoorden krijg je overzicht van potentiële risico's. Zo kun je al in een vroeg stadium treffende maatregelen nemen, wat je later in je onderzoek veel tijd, maar vooral het risico op datalekken kan besparen.  

Hoe?

Een DPIA voer je altijd uit als het ontwerp van je onderzoek op hoofdlijnen staat. Samen met een privacy-expert (veelal een 'data-steward') binnen de organisatie doorloop je de vragenlijst. Dit duurt meestal één tot anderhalf uur. Uit de vragenlijst volgt de risico-analyse op basis waarvan je wellicht enkele onderdelen in je onderzoeksplan moet aanpassen. Aansluitend volgt eventueel nog een DPIA, om ook je aangepaste onderzoeksvoorstel te controleren op risico's.

Op hoofdlijnen ziet het proces er als volgt uit:

Voorbeeld

Een DPIA is zoals gezegd een vragenlijst. Wil je alvast zien welke vragen in een DPIA aan bod komen, dan kun je hier een voorbeeld bekijken. Let op: de vragenlijst die jouw organisatie gebruikt kan hiervan afwijken. Vraag bij jullie interne privacy-expert naar de DPIA die jullie hanteren.