Direct antwoord · AVG
Wanneer een DPIA verplicht is
Een DPIA is verplicht als een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van mensen (artikel 35 lid 1). Dat is in ieder geval zo bij (artikel 35 lid 3): (a) een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering, waarop besluiten met rechtsgevolgen of vergelijkbare gevolgen worden gebaseerd; (b) grootschalige verwerking van bijzondere persoonsgegevens of strafrechtelijke gegevens; (c) stelselmatige en grootschalige monitoring van openbare ruimten. Daarnaast staat op de lijst van de Autoriteit Persoonsgegevens (Stcrt. 2019, 64418) onder meer: controle van werknemers, fraudebestrijding, profilering, creditscores, cameratoezicht, locatiegegevens en biometrische gegevens. Volgens de richtsnoeren van de EDPB is bij twee of meer van de negen criteria (zoals evaluatie of scoring, stelselmatige monitoring, kwetsbare betrokkenen zoals werknemers, en innovatieve technologie) in de regel een DPIA nodig.
Dit stelt u zelf vast
- Gaat het om grootschalige of stelselmatige verwerking (de AP-lijst stelt per categorie een eigen voorwaarde)?
- Worden er besluiten over mensen op gebaseerd?
Wetsartikelen
- art. 35 lid 1 AVG Hoofdregel: waarschijnlijk hoog risico.
- art. 35 lid 3 onder a tot en met c AVG Drie gevallen waarin een DPIA in ieder geval verplicht is, waaronder profilering met besluiten.
- art. 35 lid 4 AVG De toezichthouder stelt een lijst vast van verwerkingen waarvoor een DPIA verplicht is.
Richtsnoeren en besluiten
- Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en het bepalen of een verwerking waarschijnlijk een hoog risico inhoudt (Artikel 29-werkgroep, WP248 rev.01, 2017-10-04)Negen criteria; bij twee of meer is in de regel een DPIA nodig. Werknemers gelden als kwetsbare betrokkenen.
- Advies 2/2017 over gegevensverwerking op het werk (Artikel 29-werkgroep, WP249 (Opinion 2/2017), 2017-06-08)Gegevensverwerking op het werk: monitoring van werknemers.
- Besluit inzake lijst van verwerkingen waarvoor een DPIA verplicht is (AP) (Autoriteit Persoonsgegevens (AP), Staatscourant 2019, nr. 64418, 2019-11-27)AP-lijst met 17 soorten verwerkingen, waaronder controle van werknemers, fraudebestrijding en profilering.
