Een DPIA, voluit een gegevensbeschermingseffectbeoordeling, is een risicoanalyse die u vooraf uitvoert wanneer een verwerking van persoonsgegevens waarschijnlijk een hoog risico met zich meebrengt voor de mensen wiens gegevens het betreft. De AVG verplicht deze analyse niet bij elke verwerking, maar specifiek bij verwerkingen die door hun aard, omvang, context of doel veel impact kunnen hebben — denk aan grootschalige monitoring, systematische profilering of het verwerken van bijzondere gegevens zoals gezondheidsdata op grote schaal.
Of uw bedrijf een DPIA moet uitvoeren, hangt af van wat u precies doet met de gegevens, niet van uw omvang als bedrijf. Een zzp'er die op kleine schaal camera's ophangt in een winkel valt doorgaans buiten deze plicht; een mkb-bedrijf dat met AI-software op grote schaal klantgedrag analyseert of sollicitanten screent, komt sneller in het vaarwater van een verplichte DPIA. De Autoriteit Persoonsgegevens publiceert een lijst met verwerkingen waarvoor deze analyse volgens haar altijd nodig is; die lijst is een goed startpunt om te bepalen of uw situatie erbij hoort.
Wanneer speelt dit voor het mkb
De meeste mkb-bedrijven ontkomen aan een formele DPIA, simpelweg omdat hun verwerkingen niet de schaal of het risiconiveau hebben die de AVG bedoelt. Toch zijn er situaties waarin de vraag opeens wél relevant wordt: de invoering van cameratoezicht met gezichtsherkenning, het gebruik van een nieuwe AI-tool die automatisch beslissingen neemt over klanten of medewerkers, of een uitbreiding van bestaande software waarmee u plotseling op veel grotere schaal gegevens verzamelt dan voorheen.
Het is dus niet zozeer de sector die bepaalt of een DPIA nodig is, maar de verandering in wat u doet. Een HR-afdeling die overstapt op een sollicitatietool met automatische cv-screening doet er goed aan zich af te vragen of die overstap onder de criteria valt. Datzelfde geldt voor een kantoormanager die overweegt een nieuwe SaaS-tool in te zetten die gedrag van bezoekers op de website volgt en combineert met andere databronnen.
Wat hoort er in een DPIA te staan
Een DPIA beschrijft systematisch wat er gebeurt: welke gegevens worden verwerkt, met welk doel, op basis van welke grondslag, en wie er bij de gegevens kan. Vervolgens brengt de analyse de risico's voor de betrokkenen in kaart — wat kan er misgaan, en hoe groot is de kans en de impact daarvan. Het laatste onderdeel is de maatregel: welke technische of organisatorische stappen worden genomen om die risico's te verkleinen, en blijft er na die maatregelen nog een risico over dat niet is weg te nemen.
Dat laatste punt is belangrijk: als een DPIA uitwijst dat er ook na maatregelen een hoog risico overblijft, schrijft de AVG voor dat u dit voorlegt aan de toezichthouder voordat u de verwerking start. Dat is een uitzondering, geen standaardstap, maar het is wel de reden waarom een DPIA niet iets is dat u achteraf even invult.
De relatie met het verwerkingsregister
Een DPIA staat niet los van de rest van uw AVG-administratie. De verwerking waarvoor u de analyse uitvoert, hoort ook een plek te krijgen in de kennisbank waar risico's per verwerking zijn uitgewerkt, zodat helder blijft welke verwerkingen extra aandacht nodig hebben en welke niet. Wie het verwerkingsregister al op orde heeft, ziet vaak vanzelf welke verwerkingen qua schaal of gevoeligheid dichter bij de DPIA-drempel liggen dan andere.
Het is ook een goed moment om de verwerkersovereenkomsten die bij deze verwerking horen nog eens te controleren: een externe partij die de gegevens verwerkt waarvoor u een DPIA overweegt, is vaak ook de partij bij wie de grootste risico's ontstaan als er iets misgaat. Net zoals bij een mogelijk datalek is het nuttig om vooraf te weten waar u staat in plaats van achteraf te moeten uitzoeken wat er precies is afgesproken.
Wat als u twijfelt
De grens tussen "waarschijnlijk geen DPIA nodig" en "beter eerst analyseren" is niet altijd scherp, en de AVG laat hier bewust ruimte voor eigen afweging. Bij twijfel is het raadzaam de richtsnoeren van de Autoriteit Persoonsgegevens te raadplegen of een jurist te vragen naar uw specifieke situatie te kijken. Deze pagina beschrijft de algemene lijn uit de verordening; ze is geen vervanging voor dat advies.
Wilt u eerst een indruk krijgen van hoe uw eigen verwerkingen zich verhouden tot de risico-inschatting die de AVG hanteert? Doe de gratis quick-scan of blader door de veelgestelde vragen over het register en de bewaking daarvan om te zien welke stap voor uw bedrijf het meest voor de hand ligt.