NormenAVG
Een volledige DPIA volgens het Rijksmodel telt ruim tweehonderd vragen. Voor een standaardverwerking bij een gemeente is dat vaak meer dan nodig, en het werk komt dan bij de privacy officer te liggen. Deze werkwijze legt het werk bij de mensen die het proces kennen. De kennishouder beschrijft het proces, privacy officer en security officer schuiven aan in drie overleggen, en de proceseigenaar beslist over de maatregelen. Het sjabloon heeft tien hoofdstukken en is grotendeels aanvinken.
Bij profilering, AI of grootschalige koppelingen vraagt het Rijksmodel meer door; kies dan dat. De wegwijzer DPIA zet de modellen naast elkaar.
Een DPIA is verplicht bij de drie gevallen uit artikel 35 lid 3 AVG, bij de zeventien soorten verwerkingen op de lijst van de Autoriteit Persoonsgegevens (waaronder cameratoezicht, fraudebestrijding en samenwerkingsverbanden), en als vuistregel wanneer een verwerking aan twee of meer van de negen criteria van de Europese toezichthouders voldoet. Een pre-scan zegt het snelst of het moet; die van het Rijk rekent het uit (zie Wat anderen al hebben). Een DPIA kan ook gewenst zijn zonder plicht, bijvoorbeeld bij maatschappelijke discussie of op advies van de FG.
| Stap | Wat er gebeurt | Doet het | Eindverantwoordelijk | Denkt mee | Wordt geïnformeerd |
|---|---|---|---|---|---|
| 1. Kick-off | Overleg. De PO legt uit wat een DPIA is, welke stappen er komen en wat de planning is. | Proceseigenaar, kennishouder | Proceseigenaar | PO, ISO, kennishouder, evt. functioneel beheer | FG, door de PO na het overleg |
| 2a. Proces beschrijven | De kennishouder vult het eerste deel van het sjabloon in: het proces stap voor stap, met per stap vaste vragen. | Kennishouder | Proceseigenaar | PO | |
| 2b. Overleg: proces bespreken | Kennishouder, PO en ISO lopen de beschrijving en de rest van het sjabloon door, en bepalen welke vragen nog uit moeten. | Kennishouder | Proceseigenaar | PO, ISO | |
| 2c. Vragen uitzetten | Bij collega's en leveranciers. | Kennishouder | Proceseigenaar | PO | |
| 2d. Beschrijving afmaken | De kennishouder maakt de procesbeschrijving af; de PO werkt grondslag en doelbinding uit. Alles is nu ingevuld tot de risico's. | Kennishouder, PO | Proceseigenaar | ISO of functioneel beheer, als nodig | |
| 3a. Overleg: risico's en maatregelen | Proceseigenaar, kennishouder, PO en ISO zetten de risico's in het sjabloon en bedenken maatregelen. | Proceseigenaar | Proceseigenaar | Kennishouder, PO, ISO | |
| 3b. Maatregelen of risico's accepteren | De proceseigenaar kruist per maatregel aan of die wordt uitgevoerd. Wie een risico accepteert, motiveert waarom. | Proceseigenaar | Proceseigenaar | Kennishouder, PO | |
| 3c. Restrisico's beschrijven | De PO beschrijft wat er overblijft. Daarna is de DPIA klaar voor de FG. | PO | Proceseigenaar | ||
| 4a. Naar de FG | De proceseigenaar stuurt de DPIA; de PO praat de FG vooraf bij. | Proceseigenaar, PO | Proceseigenaar | FG | |
| 4b. Advies FG | De FG adviseert. | FG | FG | Proceseigenaar | |
| 4c. Advies verwerken | Kennishouder en PO bespreken het advies en verwerken het. | Kennishouder, PO | Proceseigenaar | ||
| 5a. Ondertekenen | Proceseigenaar en PO tekenen. De DPIA is af. | Proceseigenaar, PO | Proceseigenaar | ||
| 5b. Maatregelen uitvoeren | De geaccepteerde maatregelen worden uitgevoerd. Elke drie jaar een herziening, of eerder als de verwerking verandert. | Proceseigenaar, kennishouder | Proceseigenaar | PO |
De drie overleggen (1, 2b en 3a) zijn het skelet. Tussen de overleggen door werkt vooral de kennishouder.
| Stuk | Waarvoor | Bestanden |
|---|---|---|
| Sjabloon DPIA | Het werkdocument: tien hoofdstukken, van procesbeschrijving tot ondertekening, grotendeels aanvinken | Markdown |
| Camera's op grond van gerechtvaardigd belang | Voorgevulde teksten per hoofdstuk voor camerabeveiliging van eigen gebouwen, inclusief een uitgeschreven belangenafweging | Markdown |
| Vragenlijst camera's | Vijftien vragen voor de kennishouder en tien maatregelen voor de security officer, vóór het eerste overleg | Markdown |
| Security-assessment leverancier | Vragen voor de security officer over certificering, architectuur, authenticatie, beschikbaarheid, integriteit en vertrouwelijkheid | Markdown |
| Toelichting op het sjabloon | Per hoofdstuk wat er gevraagd wordt en hoe je het invult, met begrippen, voorbeelden en de keuzelijst technische en organisatorische maatregelen | Markdown |
De Markdown is de bron. Wil je een Word-versie om in te vullen, zet de Markdown dan om (bijvoorbeeld met pandoc) en pas die aan op de eigen organisatie (logo, keuzelijst verwerkingsverantwoordelijke, namen van procedures).
De camera-uitwerking is het meest herbruikbare deel: bij elke cameralocatie is dezelfde belangenafweging nodig, en de vragenlijst haalt de feiten per locatie op voordat iemand gaat schrijven. Voor de hoofdstukken risico's en maatregelen geeft het sjabloon alleen een lege tabel. Voorbeelden van hoe andere gemeenten die invullen staan in de collectieve DPIA's van de IBD.
EUPL-1.2. Gedeeld met toestemming van de privacyorganisatie waar de werkwijze vandaan komt.