Besluit inzake lijst van verwerkingen waarvoor een DPIA verplicht is (AP)

Waar het over gaat

De AP heeft op grond van artikel 35 lid 4 AVG, in samenhang met artikel 57 lid 1 onder k AVG, een lijst van 17 soorten verwerkingen vastgesteld waarvoor u vooraf een DPIA moet doen, zoals heimelijk onderzoek, zwarte lijsten, fraudebestrijding, creditscores, financiele situatie, genetische gegevens, gezondheidsgegevens, samenwerkingsverbanden, cameratoezicht, controle van werknemers, locatiegegevens, communicatiegegevens, internet of things, profilering, observatie en beinvloeding van gedrag en biometrische gegevens. Via het coherentiemechanisme met de EDPB is biometrie toegevoegd. Het besluit is ondertekend op 19 november 2019 en gepubliceerd in de Staatscourant van 27 november 2019. De lijst is niet uitputtend: staat uw verwerking er niet op, dan kan een DPIA toch verplicht zijn als de verwerking waarschijnlijk een hoog risico inhoudt.

Wat dit betekent voor de praktijk

Staat uw verwerking op de lijst, dan is het uitgangspunt dat u een DPIA uitvoert voordat u met de verwerking begint. Bij elke categorie staat welke criteria uit de EDPB richtsnoeren (WP248 rev.01) de AP heeft meegewogen, wat helpt bij de onderbouwing. Staat de verwerking niet op de lijst, dan beoordeelt u zelf aan de hand van de negen criteria uit WP248 rev.01 of er waarschijnlijk een hoog risico is.

De AVG-artikelen waar het om gaat

• Artikel 35: Gegevensbeschermingseffectbeoordeling
• Artikel 57: Taken
• Artikel 63: Coherentiemechanisme