Wat is een gegevensbeschermingseffectbeoordeling (DPIA)?

Een gegevensbeschermingseffectbeoordeling, vaak DPIA genoemd naar het Engelse data protection impact assessment, is een gestructureerde doorlichting van wat een nieuwe verwerking van persoonsgegevens kan betekenen voor de betrokkenen: wat er wordt verwerkt, waarom, welke risico’s er zijn en welke beschermingsmaatregelen er zijn genomen. De AVG vereist een DPIA wanneer de verwerking waarschijnlijk een hoog risico met zich meebrengt, en het invoeren van AI die met persoonsgegevens werkt, valt daar vaak onder, zeker in de publieke sector.

Het klinkt erger dan het is. Een goede gegevensbeschermingseffectbeoordeling voor een AI-hulpmiddel is een paar pagina’s die eerlijk antwoord geven op concrete vragen: waar worden de gegevens verwerkt, wie is de verwerker, wat gebeurt er met wat er wordt ingevoerd, hoe lang wordt het bewaard, en welke controle hebben we? Het lastigste is meestal om de antwoorden van de leverancier te krijgen, niet om het document te schrijven.

Daarom heeft EuroWork alvast de helft van het werk gedaan: op de pagina Vertrouwen vind je een kant-en-klare sjabloon voor een gegevensbeschermingseffectbeoordeling waarin alle gegevens van de dienst al zijn ingevuld (de Frankfurt-draai, de onderverwerkers, de gevoeligheidscontrole, de verwijdering), zodat jullie functionaris gegevensbescherming alleen nog jullie eigen doelen en beoordeling hoeft in te vullen. Wat normaal wekenlang mailen kost, is nu in een middag gepiept.