dpia-assessment

name: dpia-assessment description: >- Helpt bij het uitvoeren van een DPIA (Data Protection Impact Assessment / Gegevensbeschermingseffectbeoordeling) conform de AVG en het model van de Rijksoverheid. Begeleidt door alle stappen van het assessment met vragen, risicobeoordeling, maatregelen en AP-criteria. Gebruik deze skill wanneer de gebruiker vraagt over 'DPIA', 'data protection impact assessment', 'gegevensbeschermingseffectbeoordeling', 'GEB', 'PIA', 'privacy impact assessment', 'DPIA uitvoeren', 'DPIA invullen', 'DPIA template', 'DPIA model', 'DPIA Rijksoverheid', 'DPIA verplicht', 'DPIA criteria', 'AP DPIA-lijst', 'risicobeoordeling privacy', 'privacy risk assessment', 'voorafgaande raadpleging AP', 'prior consultation', 'hoog risico verwerking', 'high risk processing', 'DPIA artikel 35', 'DPIA algoritme', 'DPIA AI', 'DPIA app', 'DPIA systeem', 'DPIA software', 'privacy risico', 'privacy risk', 'restrisico', of wanneer de gebruiker een gegevensbeschermingseffectbeoordeling wil uitvoeren voor een systeem, applicatie of gegevensverwerking. model: sonnet allowed-tools: - WebFetch(*) - Bash(gh api *) - Bash(gh search *)

DPIA — Gegevensbeschermingseffectbeoordeling

Voer een volledige DPIA uit conform Art. 35 AVG en het model van de Rijksoverheid om privacyrisico's te identificeren en te mitigeren.

Bron: AP — DPIA | DPIA-model Rijksoverheid | AVG Art. 35

Wanneer is een DPIA verplicht?

Een DPIA is verplicht wanneer een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen (Art. 35 lid 1 AVG).

Verplicht bij (Art. 35 lid 3)

AP-criteria (2 of meer = DPIA verplicht)

De Autoriteit Persoonsgegevens hanteert 9 criteria. Bij 2 of meer is een DPIA verplicht:

Beslisboom: is een DPIA nodig?

Start: Verwerkt het systeem persoonsgegevens?
├── Nee → Geen DPIA nodig
└── Ja → Tel AP-criteria
    ├── 0-1 criteria → DPIA aanbevolen maar niet verplicht
    ├── 2+ criteria → DPIA VERPLICHT
    └── Art. 35 lid 3 situatie → DPIA VERPLICHT

Uitzonderingen (Art. 35 lid 5):
- Verwerking staat op de AP-lijst van NIET-verplichtte DPIA's
- Verwerking is al beoordeeld in het kader van de wet zelf

DPIA-stappenplan (7 stappen)

Stap 1: Beschrijving van de verwerking

Dataflow-diagram template

┌──────────┐    ┌──────────────┐    ┌──────────────┐
│  Burger  │───→│  Webformulier │───→│  Applicatie  │
│ (betrok- │    │  (verzameling)│    │  (verwerking)│
│  kene)   │    └──────────────┘    └──────┬───────┘
└──────────┘                               │
                                    ┌──────▼───────┐
                                    │   Database   │
                                    │  (opslag)    │
                                    └──────┬───────┘
                                           │
              ┌────────────────────────────┤
              │                            │
       ┌──────▼───────┐           ┌────────▼──────┐
       │  Medewerker  │           │  Verwerker    │
       │  (inzage)    │           │  (hosting)    │
       └──────────────┘           └───────────────┘

Stap 2: Noodzaak en proportionaliteit

Stap 3: Risico-inventarisatie

Identificeer risico's voor de rechten en vrijheden van betrokkenen:

Stap 4: Risicobeoordeling

Beoordeel elk risico op kans en impact:

Impact-schaal:

from dataclasses import dataclass
from enum import IntEnum

class Kans(IntEnum):
    LAAG = 1
    MIDDEN = 2
    HOOG = 3
    ZEER_HOOG = 4

class Impact(IntEnum):
    LAAG = 1
    MIDDEN = 2
    HOOG = 3
    ZEER_HOOG = 4

class Risiconiveau(IntEnum):
    LAAG = 1       # Acceptabel
    MIDDEN = 2     # Mitigeren aanbevolen
    HOOG = 3       # Mitigeren verplicht
    ZEER_HOOG = 4  # Voorafgaande raadpleging AP of stoppen

@dataclass
class PrivacyRisico:
    beschrijving: str
    categorie: str
    kans: Kans
    impact: Impact
    maatregelen: list[str]
    restrisico_kans: Kans | None = None
    restrisico_impact: Impact | None = None

    @property
    def risiconiveau(self) -> Risiconiveau:
        score = self.kans * self.impact
        if score <= 2: return Risiconiveau.LAAG
        if score <= 6: return Risiconiveau.MIDDEN
        if score <= 9: return Risiconiveau.HOOG
        return Risiconiveau.ZEER_HOOG

    @property
    def restrisico(self) -> Risiconiveau | None:
        if self.restrisico_kans and self.restrisico_impact:
            score = self.restrisico_kans * self.restrisico_impact
            if score <= 2: return Risiconiveau.LAAG
            if score <= 6: return Risiconiveau.MIDDEN
            if score <= 9: return Risiconiveau.HOOG
            return Risiconiveau.ZEER_HOOG
        return None

Stap 5: Maatregelen

Per geïdentificeerd risico maatregelen bepalen:

Stap 6: Restrisicobeoordeling

Na maatregelen opnieuw beoordelen:

Oorspronkelijk risico → Maatregelen → Restrisico
     Hoog (3x3=9)   → Encryptie,   → Midden (2x2=4)  ✓ Acceptabel
                       MFA, logging

Als restrisico HOOG of ZEER HOOG:
├── Aanvullende maatregelen treffen
├── Risico expliciet accepteren (door bevoegd gezag)
└── Of: voorafgaande raadpleging AP (Art. 36 AVG)

Stap 7: Documentatie en goedkeuring

Voorafgaande raadpleging AP (Art. 36)

Verplicht wanneer na de DPIA het restrisico hoog blijft ondanks maatregelen:

DPIA voor specifieke scenario's

DPIA bij algoritme/AI

Aanvullende vragen naast standaard DPIA:

DPIA bij cloudmigratie

DPIA bij app/portaal voor burgers

DPIA-rapport template

# DPIA: [Naam systeem/verwerking]

**Versie**: [versienummer]
**Datum**: [datum]
**Verwerkingsverantwoordelijke**: [organisatie]
**FG**: [naam + contactgegevens]
**Status**: [concept / FG-advies gevraagd / goedgekeurd]

## 1. Beschrijving verwerking
- Doel: [...]
- Categorieën persoonsgegevens: [...]
- Categorieën betrokkenen: [...]
- Aantal betrokkenen: [...]
- Bewaartermijnen: [...]
- Ontvangers: [...]
- Systemen en verwerkers: [...]
- Dataflow-diagram: [...]

## 2. AP-criteria toets
| Criterium | Van toepassing? | Toelichting |
|-----------|----------------|-------------|
| Beoordelen/profileren | Ja/Nee | [...] |
| Geautomatiseerde besluitvorming | Ja/Nee | [...] |
| [etc. voor alle 9 criteria] | | |
**Conclusie**: [x] criteria van toepassing → DPIA [verplicht/niet verplicht]

## 3. Noodzaak en proportionaliteit
- Grondslag: [...]
- Doelbinding: [...]
- Dataminimalisatie: [...]
- Subsidiariteit: [...]

## 4. Risico-inventarisatie en beoordeling
| Risico | Kans | Impact | Niveau | Maatregelen | Restkans | Restimpact | Restniveau |
|--------|------|--------|--------|-------------|----------|------------|------------|
| [...] | [...] | [...] | [...] | [...] | [...] | [...] | [...] |

## 5. Restrisicobeoordeling
[Beoordeling of restrisico's acceptabel zijn]

## 6. Advies FG
[Advies van de functionaris gegevensbescherming]

## 7. Besluit
[Goedkeuring door verwerkingsverantwoordelijke]
[Eventueel: voorafgaande raadpleging AP nodig?]

## Bijlagen
- Verwerkingsregister-entry
- Verwerkersovereenkomsten
- Technische beveiligingsmaatregelen

Implementatie-checklist

• AP-criteria getoetst: alle 9 criteria beoordeeld; conclusie DPIA verplicht/niet verplicht
• Beschrijving compleet: doel, gegevens, betrokkenen, bewaartermijnen, systemen, dataflow
• Noodzaak en proportionaliteit: grondslag, doelbinding, dataminimalisatie, subsidiariteit beoordeeld
• Risico-inventarisatie: alle relevante risico's geidentificeerd per categorie
• Risicobeoordeling: kans x impact matrix ingevuld voor elk risico
• Maatregelen: technische en organisatorische maatregelen per risico bepaald
• Restrisico: restrisico beoordeeld na maatregelen
• FG-advies: functionaris gegevensbescherming heeft geadviseerd (Art. 35 lid 2)
• Goedkeuring: verwerkingsverantwoordelijke heeft DPIA goedgekeurd
• Voorafgaande raadpleging: bij hoog restrisico: AP geraadpleegd (Art. 36)
• Verwerkingsregister: bijgewerkt met DPIA-bevindingen
• Herziening gepland: datum voor herziening vastgesteld (bij wijzigingen of max 3 jaar)
• IAMA: apart IAMA uitgevoerd indien algoritme/AI betrokken is

Gerelateerde skills

Meer informatie

• AP — DPIA
• DPIA-model Rijksoverheid
• AP — Lijst verplichte DPIA's
• AVG Art. 35-36 — DPIA en voorafgaande raadpleging
• EDPB Guidelines DPIA
• CNIL PIA tool — open-source DPIA-tool (referentie)