Ga naar de hoofdinhoud
Praxikon
Gratis check

Artikel 35: GegevensbeschermingseffectbeoordelingAI-relevant

Praxikon houdt artikel 35 (Gegevensbeschermingseffectbeoordeling) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IVVan kracht sinds 25-05-2018

Wat regelt artikel 35?

Artikel 35 verplicht de verwerkingsverantwoordelijke om vooraf een gegevensbeschermingseffectbeoordeling (DPIA) te maken wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van mensen, in het bijzonder bij het gebruik van nieuwe technologieën (lid 1). Lid 3 noemt drie situaties waarin zo'n beoordeling in elk geval nodig is: een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering, waarop besluiten worden gebaseerd die rechtsgevolgen hebben of de persoon op vergelijkbare wijze wezenlijk treffen; grootschalige verwerking van bijzondere gegevens (artikel 9) of strafrechtelijke gegevens (artikel 10); en stelselmatige grootschalige monitoring van openbaar toegankelijke ruimten. Lid 7 schrijft voor wat de beoordeling minimaal bevat: een beschrijving van de verwerking en de doelen, een toets van noodzaak en evenredigheid, een beoordeling van de risico's en de maatregelen om die risico's aan te pakken. Het artikel bestaat omdat de oude algemene meldplicht bij de toezichthouder is afgeschaft en is vervangen door een gerichte aanpak voor de echt risicovolle verwerkingen (overweging 89). Zo dwingt de AVG u om de risico's te doordenken en te beperken voordat u begint, en niet pas als het misgaat (overweging 90).

Kernbegrip: Gegevensbeschermingseffectbeoordeling (DPIA): een onderzoek vooraf naar de risico's van een verwerking voor de mensen om wie het gaat, en naar de maatregelen om die risico's te beperken

Raakt direct:verwerkingsverantwoordelijkeverwerkerfunctionaris voor gegevensbeschermingbetrokkenetoezichthouderComitélidstaat

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Raakvlak met de AI Act

De DPIA is complementair aan de AI Act: hoog-risico classificatie (Art. 6) vereist vaak ook een DPIA, en de FRIA (Art. 27) is het AI-specifieke equivalent.

AI Act Art. 6 →AI Act Art. 27 →

Officiële tekst

/
Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen voert de verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens. Eén beoordeling kan een reeks vergelijkbare verwerkingen bestrijken die vergelijkbare hoge risico's inhouden.
Wanneer een functionaris voor gegevensbescherming is aangewezen, wint de verwerkingsverantwoordelijke bij het uitvoeren van een gegevensbeschermingseffectbeoordeling diens advies in.
Een gegevensbeschermingseffectbeoordeling als bedoeld in lid 1 is met name vereist in de volgende gevallen: a) een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor de natuurlijke persoon rechtsgevolgen zijn verbonden of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen; b) grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9, lid 1, of van gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10; of c) stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.
De toezichthoudende autoriteit stelt een lijst op van het soort verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling overeenkomstig lid 1 verplicht is, en maakt deze openbaar. De toezichthoudende autoriteit deelt die lijsten mee aan het in artikel 68 bedoelde Comité.
De toezichthoudende autoriteit kan ook een lijst opstellen en openbaar maken van het soort verwerking waarvoor geen gegevensbeschermingseffectbeoordeling is vereist. De toezichthoudende autoriteit deelt deze lijst mee aan het Comité.
Wanneer de in de leden 4 en 5 bedoelde lijsten betrekking hebben op verwerkingen met betrekking tot het aanbieden van goederen of diensten aan betrokkenen of op het observeren van hun gedrag in verschillende lidstaten, of op verwerkingen die het vrije verkeer van persoonsgegevens in de Unie wezenlijk kunnen beïnvloeden, past de bevoegde toezichthoudende autoriteit voorafgaand aan de vaststelling van die lijsten het in artikel 63 bedoelde coherentiemechanisme toe.
De beoordeling bevat ten minste: a) een systematische beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden, waaronder, in voorkomend geval, de gerechtvaardigde belangen die door de verwerkingsverantwoordelijke worden behartigd; b) een beoordeling van de noodzaak en de evenredigheid van de verwerkingen met betrekking tot de doeleinden; c) een beoordeling van de in lid 1 bedoelde risico's voor de rechten en vrijheden van betrokkenen; en d) de beoogde maatregelen om de risico's aan te pakken, waaronder waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen en om aan te tonen dat aan deze verordening is voldaan, met inachtneming van de rechten en gerechtvaardigde belangen van de betrokkenen en andere personen in kwestie.
Bij het beoordelen van het effect van de door een verwerkingsverantwoordelijke of verwerker verrichte verwerkingen, en met name ter wille van een gegevensbeschermingseffectbeoordeling, wordt de naleving van de in artikel 40 bedoelde goedgekeurde gedragscodes naar behoren in aanmerking genomen.
De verwerkingsverantwoordelijke vraagt in voorkomend geval de betrokkenen of hun vertegenwoordigers naar hun mening over de voorgenomen verwerking, met inachtneming van de bescherming van commerciële of algemene belangen of de beveiliging van verwerkingen.
Wanneer verwerking uit hoofde van artikel 6, lid 1, onder c) of e), haar rechtsgrond heeft in het Unierecht of in het recht van de lidstaat dat op de verwerkingsverantwoordelijke van toepassing is, de specifieke verwerking of geheel van verwerkingen in kwestie daarbij wordt geregeld, en er reeds als onderdeel van een algemene effectbeoordeling in het kader van de vaststelling van deze rechtsgrond een gegevensbeschermingseffectbeoordeling is uitgevoerd, zijn de leden 1 tot en met 7 niet van toepassing, tenzij de lidstaten het noodzakelijk achten om voorafgaand aan de verwerkingen een dergelijke beoordeling uit te voeren.
Indien nodig verricht de verwerkingsverantwoordelijke een toetsing om te beoordelen of de verwerking overeenkomstig de gegevensbeschermingseffectbeoordeling wordt uitgevoerd, zulks ten minste wanneer sprake is van een verandering van het risico dat de verwerkingen inhouden.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Beslisboom

Moet u een DPIA doen?

Een DPIA (gegevensbeschermingseffectbeoordeling) doet u vóór de verwerking begint, als die waarschijnlijk een hoog risico oplevert. Eén DPIA mag een reeks vergelijkbare verwerkingen dekken.

Vraag 1 · art. 35 lid 1

Bent u verwerkingsverantwoordelijke voor deze verwerking?

Volledig schema
  1. 1

    Bent u verwerkingsverantwoordelijke voor deze verwerking?

    art. 35 lid 1

    • Ja → Vraag 2
    • Nee, wij zijn verwerker → Uitkomst A
  2. 2

    Valt de verwerking onder een van deze drie gevallen: (a) een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking of profilering, waarop besluiten met rechtsgevolgen of vergelijkbaar aanmerkelijk effect worden gebaseerd; (b) grootschalige verwerking van bijzondere of strafrechtelijke persoonsgegevens; (c) stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten?

    art. 35 lid 3

    • Ja → Vraag 6
    • Nee → Vraag 3
  3. 3

    Staat de soort verwerking op de lijst van verwerkingen waarvoor de Autoriteit Persoonsgegevens een DPIA verplicht stelt?

    art. 35 lid 4

    • Ja → Vraag 6
    • Nee → Vraag 4
  4. 4

    Hoeveel van deze negen criteria uit de richtsnoeren zijn van toepassing: beoordelen of scoren; geautomatiseerde besluiten met rechtsgevolg of vergelijkbaar wezenlijk gevolg; stelselmatige monitoring; gevoelige of zeer persoonlijke gegevens; grootschalige verwerking; koppelen of combineren van datasets; kwetsbare betrokkenen; innovatief gebruik of nieuwe technologische of organisatorische oplossingen, zoals AI; verwerking die mensen belet een recht uit te oefenen of een dienst of overeenkomst te gebruiken?

    art. 35 lid 1 · richtsnoeren WP248

    • Twee of meer → Vraag 6
    • Eén → Vraag 5
    • Geen → Uitkomst B
  5. 5

    Levert de verwerking om een andere reden toch waarschijnlijk een hoog risico op, gelet op de aard, omvang, context en doeleinden?

    art. 35 lid 1

    • Ja → Vraag 6
    • Nee → Uitkomst B
  6. 6

    Is de verwerking gebaseerd op een wettelijke verplichting of een taak van algemeen belang, regelt die wet deze specifieke verwerking, en is bij het maken van die wet al een DPIA gedaan?

    art. 35 lid 10

    • Ja → Uitkomst C
    • Nee → Vraag 7
  7. 7

    Blijft na de DPIA en de maatregelen die u kunt nemen een hoog risico over?

    art. 36 lid 1

    • Ja → Uitkomst E
    • Nee → Uitkomst D

Uitkomst A · Geldt deels

De DPIA is aan de verwerkingsverantwoordelijke; u helpt

Als verwerker hoeft u zelf geen DPIA te doen voor de verwerking van uw opdrachtgever, maar u helpt de verwerkingsverantwoordelijke wel met de informatie die u heeft.

art. 35 lid 1 · art. 28 lid 3 onder f

Uitkomst B · Geldt niet

Geen DPIA verplicht

De verwerking levert waarschijnlijk geen hoog risico op. Leg vast waarom u tot die conclusie kwam, en beoordeel opnieuw als de verwerking of het risico verandert.

art. 35 lid 1 · art. 5 lid 2

Uitkomst C · Geldt niet

Geen aparte DPIA nodig door de wettelijke regeling

De DPIA uit het wetgevingsproces dekt de verwerking, tenzij de lidstaat een DPIA vóór de verwerking toch nodig vindt. Controleer of uw feitelijke verwerking overeenkomt met wat in de wet is beoordeeld.

art. 35 lid 10

Uitkomst D · Geldt

Doe een DPIA vóór de verwerking

De DPIA bevat ten minste een systematische beschrijving van de verwerking en de doelen, een beoordeling van noodzaak en evenredigheid, een beoordeling van de risico’s voor betrokkenen en de maatregelen om die risico’s aan te pakken. Vraag advies aan uw FG als u die heeft. Gaat het om een hoog-risico-AI-systeem, gebruik dan de informatie van de aanbieder (artikel 26 lid 9 AI Act).

art. 35 lid 7 · art. 35 lid 2 · art. 35 lid 11 · art. 26 lid 9 AI Act

Uitkomst E · Nader toetsen

Raadpleeg eerst de Autoriteit Persoonsgegevens

Blijft een hoog risico over dat u niet kunt beperken, dan raadpleegt u de toezichthouder vóór de verwerking. Die geeft binnen acht weken schriftelijk advies, met een mogelijke verlenging van zes weken. Vindt de toezichthouder de verwerking in strijd met de AVG, dan kan die haar bevoegdheden gebruiken, tot een verbod aan toe.

art. 36 lid 1 · art. 36 lid 2 · art. 36 lid 3 · art. 58 lid 2 onder f

Een beslisboom versimpelt. Twijfelt u bij een vraag, lees dan de vindplaats of laat het beoordelen. Gecontroleerd tegen de wettekst op 1 oktober 2026.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

U beoordeelt voor elke nieuwe of gewijzigde verwerking of die waarschijnlijk een hoog risico oplevert, en maakt in dat geval vóór de start een DPIA met de onderdelen uit lid 7. Gebruikt u bijvoorbeeld een AI-toepassing die mensen systematisch en uitgebreid profileert en daarop besluiten baseert met rechtsgevolgen of een vergelijkbaar wezenlijk effect, dan valt u onder lid 3 onder a. U vraagt advies aan uw functionaris voor gegevensbescherming (lid 2), vraagt waar passend betrokkenen om hun mening (lid 9) en toetst de DPIA opnieuw zodra het risico verandert (lid 11).

Verwerker

Het artikel legt de DPIA bij de verwerkingsverantwoordelijke, maar overweging 95 verwacht dat u als verwerker op verzoek helpt, bijvoorbeeld met informatie over hoe u de gegevens verwerkt en beveiligt. Houdt u zich aan een goedgekeurde gedragscode uit artikel 40, dan telt dat mee in de beoordeling (lid 8).

Functionaris gegevensbescherming

De verwerkingsverantwoordelijke moet uw advies inwinnen bij het maken van een DPIA (lid 2). U kijkt of de beoordeling de onderdelen uit lid 7 bevat en of de gekozen maatregelen de risico's voor betrokkenen echt aanpakken.

Betrokkene

Een DPIA is bedoeld om uw rechten en vrijheden te beschermen voordat een verwerking start. Waar passend vraagt de verwerkingsverantwoordelijke u of uw vertegenwoordigers naar uw mening over de voorgenomen verwerking (lid 9).

Compliance checklist

Gerelateerde overwegingen

(84)

Teneinde de naleving van deze verordening te verbeteren indien de verwerking waarschijnlijk gepaard gaat met hoge risico's in verband met de rechten en vrijheden van natuurlijke personen, dient de ver...

(89)

Richtlijn 95/46/EG voorzag in een algemene verplichting om de verwerking van persoonsgegevens aan de toezichthoudende autoriteiten te melden. Die verplichting leidt tot administratieve en financiële l...

(90)

In dergelijke gevallen dient de verwerkingsverantwoordelijke voorafgaand aan de verwerking een gegevensbeschermingseffectbeoordeling te verrichten om de specifieke waarschijnlijkheid en de ernst van d...

(91)

Dit dient met name te gelden voor grootschalige verwerkingen die bedoeld zijn voor de verwerking van een aanzienlijke hoeveelheid persoonsgegevens op regionaal, nationaal of supranationaal niveau, waa...

(92)

Onder bepaalde omstandigheden kan het redelijk en nuttig zijn dat de gegevensbeschermingseffectbeoordeling zich niet beperkt tot een enkel project, bijvoorbeeld wanneer overheidsinstanties of -organen...

(93)

In het kader van de vaststelling van het lidstatelijke recht waarop de vervulling van de taken van de overheidsinstantie of het overheidsorgaan is gebaseerd, en waarin de specifieke verwerking of reek...

(94)

Wanneer een gegevensbeschermingseffectbeoordeling uitwijst dat de verwerking, bij afwezigheid van de waarborgen, beveiligingsmaatregelen en risicobeperkende mechanismen, met een hoog risico voor de re...

(95)

De verwerker dient de verwerkingsverantwoordelijke, indien nodig en op verzoek, bij te staan om ervoor te zorgen dat de verplichtingen ingevolge de uitvoering van gegevensbeschermingseffectbeoordeling...

Kruisverwijzingen

Art. 6: Rechtmatigheid van de verwerkingArt. 9: Verwerking van bijzondere categorieën van persoonsgegevensArt. 10: Verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feitenArt. 40: GedragscodesArt. 63: CoherentiemechanismeArt. 68: Europees Comité voor gegevensbescherming

Meer rechtspraak, richtsnoeren en boetes

Aanvullend op het overzicht onderaan deze pagina: uitspraken, richtsnoeren en boetes die dit artikel uitleggen of toepassen, nieuwste eerst. Elk item is nagelopen tegen de officiële bron.

Richtsnoeren en besluiten (2)

Boetes (1)

  • 2 september 2022 · Data Protection Commission (Ierland)€ 405.000.000
    Instagram: gegevens van kinderen standaard openbaar

    Kinderen tussen 13 en 17 jaar konden een zakelijk account openen waarbij hun e-mailadres of telefoonnummer openbaar werd, en persoonlijke accounts van kinderen stonden standaard op openbaar. Op last van het EDPB werd ook een inbreuk op de grondslag voor de verwerking vastgesteld.

    Besluit van 2 september 2022, bekendgemaakt op 15 september 2022. Meta heeft beroep ingesteld bij de Ierse High Court.

Gecontroleerd op 1 oktober 2026

Veelgestelde vragen

← Art. 34: Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkeneArt. 36: Voorafgaande raadpleging →

Samenhang

Wat samenhangt met artikel 35 AVG

Thema’s waarin dit terugkomt

Waar dit de andere wet raakt

De tegenhanger in de andere wet

Rechtspraak

Richtsnoeren8 van 9

Handhaving en boetes

Wetgeving in beweging

Analyses