DPIA

Wat is een DPIA?

Een DPIA is een onderzoek dat je doet voordat je persoonsgegevens op een nieuwe manier gaat verwerken. Je brengt de privacyrisico’s voor mensen in kaart en kiest maatregelen om ze kleiner te maken.

DPIA staat voor data protection impact assessment. In de Nederlandse wettekst heet het een gegevensbeschermingseffectbeoordeling. De plicht staat in artikel 35 van de AVG.

Wat staat er in een DPIA?

Je mag zelf een methode kiezen. Er moeten wel minstens vier dingen in:

1. een beschrijving van de verwerking en het doel;
2. waarom de verwerking nodig is, en of het ook met minder gegevens kan;
3. de risico’s voor de mensen van wie je de gegevens gebruikt;
4. de maatregelen die je neemt, zoals pseudonimiseren, minder toegang of versleuteling.

Begin er vroeg mee, als je de verwerking nog aan het ontwerpen bent. Blijft er na je maatregelen een hoog risico over? Dan overleg je eerst met de Autoriteit Persoonsgegevens (AP), voordat je begint.

Wanneer is een DPIA verplicht?

Een DPIA is verplicht als een verwerking waarschijnlijk een hoog risico geeft voor mensen. Dat bepaal je zelf, met drie hulpmiddelen:

• de gevallen die de AVG noemt, zoals het op grote schaal verwerken van gezondheidsgegevens;
• de lijst van de AP, met onder meer controle van werknemers, cameratoezicht en profilering;
• negen criteria van de Europese toezichthouders. Voldoet je verwerking aan twee of meer? Dan is een DPIA als vuistregel nodig.

Doe je geen DPIA, dan moet je kunnen uitleggen waarom niet.

Voorbeeld in het mkb

Wil je AI inzetten met gegevens van klanten of medewerkers? Lees hoe ik AI in je bedrijf aanpak, met zakelijke accounts en een verwerkersovereenkomst.

Veelgestelde vragen

Dit is uitleg in gewone taal, geen juridisch advies.

Bronnen: Autoriteit Persoonsgegevens: Data protection impact assessment (DPIA) en Besluit lijst verwerkingen waarvoor een DPIA verplicht is. Geraadpleegd op 7 oktober 2026.