# Data Protection Impact Assessment

**[Naam werkproces]**

**[Naam organisatie]**

| | |
|---|---|
| **Status** | Concept / Definitief / Herzien |
| **Datum start DPIA** | [datum] |
| **Datum herziening DPIA** | [datum, uiterlijk drie jaar na afronding] |
| **Organisatie** | [naam] |
| **Cluster** | |
| **Afdeling** | |
| **Verwerkingsverantwoordelijke** | College van B&W / Burgemeester / Gemeenteraad |
| **Proceseigenaar** | |
| **Kennishouder / contactpersoon** | |
| **Betrokken privacy officer** | |
| **Versiegeschiedenis** | Concept 0.1: eerste opzet kennishouder |

## Managementsamenvatting

*[Vat de resultaten samen: de scope, waarom de DPIA is uitgevoerd, de risico's, de maatregelen en de conclusie.]* (Actie: privacy officer)

## 1. Beschrijving proces

### 1.1 Waar gaat de DPIA over?

*[De aanleiding. Het doel van het werkproces en de context waarin het plaatsvindt, op hoofdlijnen.]*

**Waar gaat de DPIA niet over?**

*[Wat expliciet buiten de scope valt, als dat nodig is.]*

### 1.2 Procesbeschrijving

Beschrijf het proces stap voor stap, met per stap de tabel hieronder. Titels van stappen kunnen zijn:

1. Verzoek komt binnen via het zaaksysteem
2. Verzoek wordt in applicatie X gezet
3. Inhoudelijke behandeling in applicatie X door de klantmanager
4. Klantmanager neemt een besluit over de aanvraag
5. Besluit gaat naar de inwoner via beveiligde mail
6. Besluit wordt gearchiveerd en X jaar bewaard

Voeg een procesplaat toe als die er is.

| Stap 1 | [titel stap] |
|---|---|
| Beschrijving stap | *Hoe ontvang je persoonsgegevens, wat doe je ermee, waar leg je ze vast?* |
| Wie voert de stap uit? | |
| Wie kunnen bij de gegevens? | |
| Welke persoonsgegevens leg je bij deze stap vast? | |
| Zijn al deze persoonsgegevens noodzakelijk? Leg uit. | |
| Van wie leg je persoonsgegevens vast? Om hoeveel mensen gaat het? | |
| Hoe kom je aan deze persoonsgegevens? | |
| Welke applicaties gebruik je in deze stap? Gebeurt er ook iets met de hand? | |
| Wissel je deze gegevens uit met andere partijen? | |
| Wat is de bewaartermijn? | |

### 1.3 Register van verwerkingen

- [ ] De verwerking is **wel** opgenomen in het register van verwerkingen.
- [ ] De verwerking is **niet** opgenomen in het register van verwerkingen.

### 1.4 Procesbeschrijving of werkinstructie

- [ ] Dit proces is **wel** vastgelegd in een procesbeschrijving of werkinstructie.
- [ ] Dit proces is **niet** vastgelegd in een procesbeschrijving of werkinstructie.

## 2. Samenwerking

Met welke externe partijen wordt in dit proces samengewerkt? Dat zijn leveranciers van wie een applicatie wordt afgenomen, en andere partijen waarmee de organisatie persoonsgegevens uitwisselt.

| Externe partij | Applicatie, systeem of manier van uitwisselen | Privacyrol (verwerker / zelfstandig verwerkingsverantwoordelijk / gezamenlijk verwerkingsverantwoordelijk / sub-verwerker) | Verwerkers- of andere privacyovereenkomst (j/n; datum en vindplaats) | Doorgifte buiten Europa (j/n; welk land) | Doorgifte-instrument bij doorgifte buiten de EER |
|---|---|---|---|---|---|
| | | | | | |
| | | | | | |

## 3. Persoonsgegevens, grondslag en doelbinding

*Met welke persoonsgegevens wordt gewerkt, waarom is dat noodzakelijk, op welke grondslag, en worden ze hergebruikt?*

### 3.1 Persoonsgegevens

**Gewone persoonsgegevens**

- [ ] Voor- en achternaam
- [ ] E-mailadres
- [ ] Telefoonnummer
- [ ] Woonadres
- [ ] Geboortedatum
- [ ] Geslacht
- [ ] Nationaliteit
- [ ] IP-adres
- [ ] Inloggegevens
- [ ] Functie
- [ ] Klantnummer
- [ ] Dienstbetrekking
- [ ] Kenteken
- [ ] Burgerlijke staat
- [ ] Anders, namelijk:

**Gevoelige persoonsgegevens**

- [ ] Burgerservicenummer of ander nationaal identificatienummer
- [ ] Financiële gegevens, zoals schulden, bezittingen of een bankrekeningnummer
- [ ] GPS-locatie
- [ ] Kopie identiteitsbewijs
- [ ] Camerabeelden
- [ ] Anders, namelijk:

**Bijzondere categorieën persoonsgegevens**

- [ ] Gezondheid
- [ ] Ras of etnische afkomst
- [ ] Politieke opvattingen
- [ ] Religieuze overtuiging
- [ ] Lidmaatschap vakbond
- [ ] Genetische gegevens
- [ ] Biometrische gegevens
- [ ] Seksueel leven of geaardheid
- [ ] Anders, namelijk:

**Strafrechtelijke persoonsgegevens**

- [ ] Strafrechtelijke veroordelingen
- [ ] Lopende strafprocedures
- [ ] Opgelegde strafmaatregelen
- [ ] Anders, namelijk:

### 3.2 Noodzakelijkheid en subsidiariteit

| | |
|---|---|
| Waarom is het **noodzakelijk** om deze persoonsgegevens vast te leggen? | |
| Zijn er minder ingrijpende alternatieven voor de privacy van betrokkenen? Leg uit. | |

### 3.3 Grondslag

Tip: betrek de privacy officer bij deze vraag.

| Verwerkingsdoel werkproces | AVG-grondslag (toestemming / uitvoering overeenkomst / wettelijke verplichting / vitaal belang / taak van algemeen belang / gerechtvaardigd belang) | Toelichting op de grondslag |
|---|---|---|
| | | *Bij bijzondere categorieën: noem ook de uitzondering in de wet.* |

| Toepasselijke wetgeving en (gemeentelijk) beleid | Welke eisen volgen daaruit? | Toelichting |
|---|---|---|
| | | |

### 3.4 Doelbinding

*Worden de persoonsgegevens ook gebruikt voor een ander doel dan hierboven? Vul dan de tabel in. Anders: "n.v.t."*

| Doel (hergebruik) | Partij (externe organisatie of interne afdeling) | Soort persoonsgegevens | Verenigbaar doel, of nieuw doel met eigen grondslag | Aanvullende maatregelen |
|---|---|---|---|---|
| | | | | |

## 4. Juistheid

**Borging kwaliteit.** *Hoe blijven de gegevens actueel, juist en volledig?*

**Logging.** *Is er logging ingericht, op welke onderdelen, hoe lang wordt die bewaard en wordt er op gemonitord?*

## 5. Opslag

| | |
|---|---|
| Welke bewaartermijn(en) gelden in dit proces? | |
| Wordt die bewaartermijn nageleefd? | |
| Waar worden de persoonsgegevens opgeslagen? | |

## 6. Bescherming

Betrek een security officer om te toetsen of de organisatie en de leverancier genoeg beveiligingsmaatregelen nemen. Voor de leverancier kan dat met het [security-assessment](security-assessment-leverancier.md).

### 6.1 Beveiliging bij de organisatie

**Organisatiebrede maatregelen**

- [ ] Centrale identiteitsdienst met single sign-on of MFA
- [ ] Firewall ingericht (leg uit)
- [ ] Back-ups van data op servers, opgeslagen op twee fysieke plaatsen
- [ ] Jaarlijkse ENSIA-audit
- [ ] Fysieke beveiliging (toegang met tag)
- [ ] Werktelefoon (of BYOD) beveiligd met code of wachtwoord
- [ ] Werklaptop (of BYOD) beveiligd met code of wachtwoord
- [ ] [eigen aanvulling]

**Betrokken medewerkers**

- [ ] Medewerkers hebben een eed afgelegd
- [ ] Medewerkers hebben een geheimhoudingsverklaring getekend
- [ ] Medewerkers hebben een VOG aangeleverd
- [ ] [eigen aanvulling]

**Systemen in het werkproces**

- [ ] Systemen zijn alleen toegankelijk via het eigen netwerk
- [ ] Toegang alleen met eigen gebruikersnaam en wachtwoord
- [ ] Twee- of meerfactorauthenticatie (2FA/MFA)
- [ ] Autorisaties voor systemen zijn ingericht (IAM)
- [ ] Autorisaties hangen aan de functie van de medewerker
- [ ] Autorisaties vragen (aparte) toestemming van een leidinggevende
- [ ] Toegang tot systemen wordt gelogd, en niet iedereen kan bij die logging
- [ ] Automatische updates
- [ ] [eigen aanvulling]

**Specifieke maatregelen voor dit werkproces**

- [ ] [eigen aanvulling]

### 6.2 Beveiliging leverancier(s)

**[Naam verwerker 1]**

- [ ] De verwerker heeft de VNG Standaard Verwerkersovereenkomst ondertekend. Neem Bijlage 2 van de getekende overeenkomst hieronder over.
- [ ] Met de verwerker is een andere verwerkersovereenkomst gesloten. Hieronder de belangrijkste maatregelen van de leverancier.
- [ ] Met de verwerker is **geen** verwerkersovereenkomst gesloten.

## 7. Transparantie

### 7.1 Gebruikte technieken

| Vraag | Antwoord en uitleg |
|---|---|
| Worden er algoritmes gebruikt? Zo ja: hoe werken ze, en voldoen ze aan de eisen van de AP en de Europese wetgever? | |
| Wordt er AI gebruikt? Zo ja: hoe werkt het, en voldoet het AI-systeem aan de eisen van de wet? | |
| Is er sprake van profilering? Zo ja: hoe, en waarvoor wordt de profilering gebruikt? | |
| Wordt er geautomatiseerd besloten? Zo ja: hoe is menselijke tussenkomst geregeld? | |

### 7.2 Transparantie richting betrokkenen

| Vraag | Antwoord en uitleg |
|---|---|
| Hoe en wanneer worden betrokkenen geïnformeerd over het gebruik van hun persoonsgegevens? | Via de privacyverklaring op de website van de organisatie, die betrokkenen op elk moment kunnen lezen. *[Vul aan of pas aan]* |
| Zijn er binnen de afdeling specifieke afspraken over verzoeken van betrokkenen? | Verzoeken lopen via de procedure rechten van betrokkenen; de rechten staan ook in de privacyverklaring. *[Vul aan of pas aan]* |
| Hoe zijn de systemen ingericht om verzoeken uit te voeren (bijvoorbeeld inzage en verwijdering)? | *[Vul aan]* |

## 8. Risico's en maatregelen

Tip: betrek de privacy officer bij dit hoofdstuk.

### 8.1 Risico's

*Welke privacyrisico's lopen betrokkenen in dit werkproces? Risicoclassificatie: hoog / midden / laag / geen.*

| Nr. | Risicoclassificatie | Aanduiding risico | Beschrijving risico | Voor wie is het risico? |
|---|---|---|---|---|
| 1 | | | | |
| 2 | | | | |
| 3 | | | | |
| 4 | | | | |
| 5 | | | | |

### 8.2 Beheersmaatregelen

| Nr. | Risicoclassificatie | Te treffen maatregelen | Restrisico | Maatregel akkoord (proceseigenaar) | Al geïmplementeerd | Wanneer en door wie? |
|---|---|---|---|---|---|---|
| 1 | | | | ☐ Ja ☐ Nee | ☐ Ja ☐ Nee | |
| 2 | | | | ☐ Ja ☐ Nee | ☐ Ja ☐ Nee | |
| 3 | | | | ☐ Ja ☐ Nee | ☐ Ja ☐ Nee | |
| 4 | | | | ☐ Ja ☐ Nee | ☐ Ja ☐ Nee | |
| 5 | | | | ☐ Ja ☐ Nee | ☐ Ja ☐ Nee | |

Wordt een maatregel niet uitgevoerd, dan motiveert de proceseigenaar waarom het risico wordt geaccepteerd.

### 8.3 Restrisico

*[Beschrijf de resterende risico's en bepaal of de verwerking door kan gaan, of dat een voorafgaande raadpleging van de Autoriteit Persoonsgegevens nodig is.]*

## 9. Advies functionaris gegevensbescherming

*[Het advies van de FG is een verplicht onderdeel van de DPIA. De FG plaatst het advies hier.]*

## 10. Ondertekening

### Proceseigenaar

- [ ] De beschrijving van het werkproces is juist en volledig
- [ ] De belangrijkste organisatorische en technische oorzaken zijn in kaart gebracht
- [ ] De beschreven maatregelen verminderen de risico's voldoende
- [ ] De maatregelen worden uitgevoerd en gereedgemeld bij de privacy officer

Naam: | Handtekening: | Datum:

### Privacy officer

- [ ] Mijn belangrijkste adviezen zijn meegenomen in deze DPIA
- [ ] Een andere privacy officer heeft een kwaliteitscheck gedaan, namelijk:
- [ ] De belangrijkste risico's voor de rechten en vrijheden van betrokkenen zijn in kaart gebracht
- [ ] De maatregelen verminderen de risico's: ☐ voldoende ☐ niet voldoende
- [ ] De maatregelen worden bewaakt en afgestemd met de proceseigenaar

Naam: | Handtekening: | Datum: