Gepubliceerd op 19 oktober 2025 · Laatst bijgewerkt op 8 september 2026
Een DPIA is een gegevensbeschermingseffectbeoordeling die u op grond van artikel 35 AVG moet uitvoeren voordat u begint met een verwerking die waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. De beoordeling brengt de verwerking, de noodzaak, de risico en de maatregelen in kaart. Blijft het risico daarna hoog, dan volgt eerst een voorafgaande raadpleging van de Autoriteit Persoonsgegevens op grond van artikel 36 AVG.
Inhoudsopgave
Wanneer is een DPIA verplicht?
De hoofdregel staat in artikel 35 AVG: is het waarschijnlijk dat een verwerking een hoog risico oplevert voor de rechten en vrijheden van natuurlijke personen, gelet op de aard, de omvang, de context en de doeleinden ervan, dan voert de verwerkingsverantwoordelijke vooraf een beoordeling uit. Het gaat dus niet om de vraag of er ooit iets mis kan gaan, maar om een inschatting vooraf van de kans op ernstige gevolgen voor mensen. Het inzetten van nieuwe technologie is daarbij uitdrukkelijk een aanwijzing dat die drempel wordt gehaald.
De AVG noemt daarnaast drie gevallen waarin een DPIA in elk geval is vereist:
- een systematische en uitgebreide beoordeling van persoonlijke aspecten van mensen, gebaseerd op geautomatiseerde verwerking waaronder profilering, waarop besluiten worden gebaseerd met rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen;
- grootschalige verwerking van bijzondere categorieen van persoonsgegevens als bedoeld in artikel 9 AVG of van strafrechtelijke gegevens als bedoeld in artikel 10 AVG;
- stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.
Valt uw verwerking buiten deze drie gevallen, dan bent u er niet. De Europese toezichthouders hebben in richtsnoeren negen criteria uitgewerkt die duiden op een hoog risico, waaronder evaluatie en scoretoekenning, geautomatiseerde besluitvorming, systematische monitoring, gevoelige gegevens, grootschalige verwerking, het koppelen van datasets, gegevens over kwetsbare betrokkenen, innovatief gebruik van technologie en verwerkingen die betrokkenen beletten een recht uit te oefenen. Die criteria staan niet in de verordening zelf, maar in de richtsnoeren; als vuistregel geldt dat twee of meer criteria samen een DPIA rechtvaardigen. Dat is nadrukkelijk een vuistregel en geen wettelijke drempel: ook bij een enkel criterium kan het risico zo groot zijn dat u een DPIA doet.
Twijfelt u, doe hem dan. Een DPIA die achteraf niet verplicht bleek, kost tijd. Een verwerking die zonder DPIA is gestart en wel verplicht was, is een overtreding die u niet meer kunt repareren zonder de verwerking stil te leggen.
Welke rol speelt de lijst van de Autoriteit Persoonsgegevens?
Artikel 35 AVG draagt elke nationale toezichthouder op een lijst vast te stellen van soorten verwerkingen waarvoor een DPIA verplicht is. De Autoriteit Persoonsgegevens heeft die lijst opgesteld en gepubliceerd. Staat uw verwerking daarop, dan is de discussie over de vraag of het hoge risico waarschijnlijk is gesloten: u voert een DPIA uit.
De lijst bevat onder meer verwerkingen die in de Nederlandse praktijk veel voorkomen, zoals grootschalige verwerking van gezondheidsgegevens, het systematisch en grootschalig volgen van personen, financiele beoordelingen zoals kredietwaardigheidsbeoordeling en fraudebestrijding, en het monitoren van werknemers. Die laatste categorie verrast werkgevers vaak: personeelsmonitoring en uitgebreid cameratoezicht op de werkvloer zijn precies het type verwerking waarvoor de beoordeling is bedoeld.
De lijst is een ondergrens, geen uitputtende opsomming. Staat uw verwerking er niet op, dan volgt daaruit niet dat u vrijgesteld bent; u moet dan zelf toetsen aan artikel 35 AVG en aan de criteria uit de richtsnoeren. Leg die toets ook vast als de uitkomst is dat geen DPIA nodig is. Dat is uw verantwoordingsplicht: u moet kunnen laten zien dat u de vraag hebt beantwoord, niet dat u hem hebt vermeden.
Wat moet er minimaal in een DPIA staan?
Artikel 35 AVG schrijft voor wat de beoordeling ten minste bevat. Dat zijn vier onderdelen:
- een systematische beschrijving van de beoogde verwerkingen en de doeleinden, met vermelding van het gerechtvaardigde belang als u zich daarop beroept;
- een beoordeling van de noodzaak en de evenredigheid van de verwerkingen ten opzichte van de doeleinden;
- een beoordeling van de risico voor de rechten en vrijheden van betrokkenen;
- de beoogde maatregelen om die risico aan te pakken, waaronder waarborgen, veiligheidsmaatregelen en mechanismen die de bescherming van persoonsgegevens verzekeren en aantonen dat aan de AVG wordt voldaan.
Die vier onderdelen zijn niet vrijblijvend. Een rapport dat de verwerking uitgebreid beschrijft maar de noodzakelijkheidstoets overslaat, voldoet niet. In de praktijk is juist dat tweede onderdeel het onderdeel waar organisaties overheen lezen, terwijl daar de kern van de beoordeling zit.
De beschrijving zelf sluit aan op het verwerkingsregister uit artikel 30 AVG. Wie dat register op orde heeft, heeft de categorieen betrokkenen, de gegevenscategorieen, de doeleinden, de grondslag per doeleinde, de ontvangers, de doorgifte naar landen buiten de Europese Economische Ruimte en de bewaartermijnen al beschreven. Loopt u tegen gaten aan, dan is dat op zichzelf al een bevinding. Welke verplichtingen daarbij in het mkb het vaakst blijven liggen, is een terugkerend patroon.
Een veelgemaakte fout in de beschrijving is het onjuist labelen van gegevens. Locatiegegevens van werknemers zijn bijvoorbeeld gevoelig en kunnen veel over iemand prijsgeven, maar zijn geen bijzondere categorie in de zin van artikel 9 AVG. Dat onderscheid bepaalt welk regime geldt, dus benoem het zuiver.
Hoe beoordeelt u noodzaak en evenredigheid?
De noodzakelijkheidstoets is geen formaliteit maar de plaats waar u uw eigen plan tegen het licht houdt. De vraag is niet of de verwerking handig is, maar of het doel redelijkerwijs op een minder ingrijpende manier kan worden bereikt. Kan hetzelfde resultaat met minder gegevens, met een kortere bewaartermijn, met geaggregeerde in plaats van herleidbare gegevens of met steekproeven in plaats van permanente registratie, dan is de zwaardere variant niet noodzakelijk.
Bij verwerkingen op de werkvloer komt daar een specifiek Nederlands punt bij. Toestemming van een werknemer is in beginsel geen bruikbare grondslag, omdat de gezagsverhouding aan de vrije wil in de weg staat. Een werkgever die medewerkers monitort, moet dus in de regel steunen op het gerechtvaardigd belang, en dan wordt de belangenafweging beslissend: is het belang gerechtvaardigd, is de monitoring noodzakelijk om dat belang te dienen, staat de inbreuk in verhouding tot het doel, en bestaat er geen minder ingrijpend alternatief. Die noodzakelijkheids-, proportionaliteits- en subsidiariteitstoets hoort zichtbaar in de DPIA terug te komen.
Vergeet daarnaast de medezeggenschap niet. Een regeling voor personeelsvolgsystemen of voor de verwerking van persoonsgegevens van werknemers is instemmingsplichtig op grond van artikel 27 WOR. Zonder instemming van de ondernemingsraad kan de regeling nietig zijn, hoe zorgvuldig de DPIA verder ook is opgesteld. Plan die instemming dus in het traject in en niet erna.
Legt u een besluit voor waarin geautomatiseerde besluitvorming een rol speelt, dan raakt de beoordeling ook aan artikel 22 AVG en aan de regels over transparantie. Zet in de DPIA uitdrukkelijk hoe menselijke tussenkomst is geregeld en hoe iemand een besluit kan aanvechten. Hoe dat uitpakt wanneer algoritmes persoonsgegevens verwerken, vraagt om een eigen analyse.
Hoe brengt u de risico en de maatregelen in kaart?
Een risicobeoordeling onder de AVG gaat over gevolgen voor mensen, niet over gevolgen voor de organisatie. Dat is het verschil met een gewone informatiebeveiligingsanalyse. Denk aan identiteitsfraude, financiele schade, discriminatie, uitsluiting van diensten, reputatieschade, verlies van vertrouwelijkheid van beroepsgeheim en het verlies van controle over eigen gegevens. Beoordeel elk risico op de waarschijnlijkheid dat het zich voordoet en op de ernst van het gevolg.
Beschrijf per risico welke maatregelen u treft en welk restrisico daarna overblijft. Maatregelen zijn technisch en organisatorisch tegelijk: versleuteling en toegangsbeperking hebben weinig waarde zonder autorisatiebeheer, logging, bewaartermijnen die daadwerkelijk worden uitgevoerd en instructies voor medewerkers. Neem ook de keten mee. Schakelt u verwerkers in, dan legt u de afspraken vast in een verwerkersovereenkomst en beoordeelt u de beveiliging van die partij als onderdeel van uw eigen beoordeling.
Neem in de beoordeling ook het scenario mee dat het misgaat. Een datalek moet in beginsel binnen tweeenzeventig uur bij de Autoriteit Persoonsgegevens worden gemeld; wie in de DPIA al heeft vastgelegd wie wat doet, haalt die termijn. Wat de meldplicht bij een datalek precies vergt, is daarmee een logisch sluitstuk van uw risicoanalyse.
Zet de maatregelen tot slot om in een concreet plan met eigenaren en momenten van oplevering. Een DPIA die eindigt in aanbevelingen zonder eigenaar is geen beheersmaatregel maar een document. De verantwoordingsplicht van de AVG vraagt dat u kunt laten zien dat de maatregelen ook zijn uitgevoerd.
Wie moet u raadplegen: de functionaris gegevensbescherming, de OR en betrokkenen?
Heeft u een functionaris gegevensbescherming aangesteld, dan bent u verplicht diens advies in te winnen bij het uitvoeren van een DPIA. Dat volgt uit artikel 35 AVG, en het toezicht op de uitvoering van de beoordeling behoort tot de taken van de functionaris op grond van artikel 39 AVG. Vraag dat advies vroeg genoeg, want een advies dat het ontwerp niet meer kan beinvloeden is waardeloos. Legt u het advies naast u neer, motiveer dan schriftelijk waarom. Wanneer het aanstellen van een functionaris gegevensbescherming verplicht is, is een aparte vraag die u vooraf moet beantwoorden.
Daarnaast bepaalt artikel 35 AVG dat u waar passend de mening vraagt van betrokkenen of hun vertegenwoordigers over de voorgenomen verwerking, onverminderd de bescherming van commerciele of algemene belangen of de beveiliging van de verwerking. Gaat het om werknemers, dan is de ondernemingsraad de aangewezen vertegenwoordiger en loopt die raadpleging vaak samen met het instemmingstraject van artikel 27 WOR. Legt u vast dat u van raadpleging afziet, motiveer dan waarom dat in dit geval niet passend was.
Bij verwerkingen die op een wettelijke grondslag berusten en waarover bij de totstandkoming van die regeling al een beoordeling heeft plaatsgevonden, kan een deel van het werk al zijn gedaan. Ga daar niet zonder meer van uit: de concrete inrichting van uw systeem is zelden identiek aan wat de wetgever voor ogen had.
Wat doet u bij een hoog restrisico?
Blijkt uit de beoordeling dat er ondanks alle redelijke maatregelen een hoog risico blijft bestaan, dan mag u de verwerking niet zomaar starten. Artikel 36 AVG verplicht u dan tot een voorafgaande raadpleging van de Autoriteit Persoonsgegevens. U legt daarbij uw beoordeling voor, met de verdeling van verantwoordelijkheden, de doeleinden en middelen, de getroffen waarborgen en de gegevens van uw functionaris gegevensbescherming.
De toezichthouder kan schriftelijk advies uitbrengen en beschikt daarnaast over de bevoegdheden van artikel 58 AVG, tot en met een verwerkingsverbod. Reken er dus op dat een raadpleging tijd kost en plan die tijd in het project in. Wie de raadpleging pas ontdekt op het moment dat de livegang gepland staat, staat voor de keuze tussen uitstel en een overtreding.
In veel gevallen is de betere route om terug te gaan naar de tekentafel. Een hoog restrisico is namelijk vaak een signaal dat het ontwerp te ruim is: te veel gegevens, te lang bewaren, te ruime toegang. Beperk de verwerking en het restrisico daalt mee. Dat is ook wat artikel 25 AVG met gegevensbescherming door ontwerp en door standaardinstellingen beoogt.
Wanneer moet u een DPIA herzien?
Een DPIA is geen eenmalig document. Artikel 35 AVG bepaalt dat u zo nodig een toetsing uitvoert om te beoordelen of de verwerking nog steeds overeenkomstig de beoordeling wordt uitgevoerd, in elk geval wanneer het risico dat de verwerking met zich meebrengt verandert. Een verandering van risico is bijvoorbeeld een nieuwe technologie, een nieuw doeleinde, een nieuwe categorie betrokkenen, een migratie naar een andere leverancier of een uitbreiding van de bewaartermijn.
Praktisch werkt het om de DPIA aan een vast moment te koppelen, bijvoorbeeld aan de jaarlijkse actualisatie van het verwerkingsregister, en daarnaast aan wijzigingsprocessen: elke keer dat een systeem substantieel verandert, komt de vraag langs of de beoordeling nog klopt. Documenteer wat u opnieuw hebt beoordeeld en wat de uitkomst was, ook wanneer die uitkomst is dat er niets verandert.
Let daarbij op nieuwe regelgeving die naast de AVG komt te staan. Zet u een AI-systeem in, dan kan de AI-verordening (EU) 2024/1689 van toepassing zijn. De verboden praktijken, de regels voor AI-modellen voor algemene doeleinden en de transparantieplicht van artikel 50 gelden al; het regime voor systemen met een hoog risico is uitgesteld, voor de categorieen van bijlage III tot 2 december 2027. Voor bepaalde afnemers van hoogrisicosystemen bevat die verordening een eigen beoordeling van gevolgen voor de grondrechten, die naast de DPIA komt te staan en die u er niet mee kunt vervangen.
Wat gebeurt er als u geen DPIA uitvoert?
Het ten onrechte achterwege laten van een verplichte DPIA is een zelfstandige overtreding van de AVG, ook als er verder niets misgaat. De Autoriteit Persoonsgegevens kan handhaven op grond van artikel 58 AVG en beschikt daarbij onder meer over de bevoegdheid de verwerking te beperken of te verbieden. Daarnaast valt het niet naleven van artikel 35 en artikel 36 AVG onder het boeteregime van artikel 83 AVG.
Minstens zo belangrijk is de bewijspositie. Ontstaat er een geschil met een betrokkene, een ondernemingsraad of een toezichthouder, dan is de DPIA het document waarmee u laat zien dat u de afweging vooraf hebt gemaakt. Ontbreekt dat document, dan moet u achteraf reconstrueren wat u dacht, en dat lukt zelden overtuigend. Het risico van aansprakelijkheid voor schade van betrokkenen op grond van artikel 82 AVG komt daar nog bij.
De verplichting rust op de verwerkingsverantwoordelijke. Besteedt u de uitvoering uit aan een adviseur of aan uw leverancier, dan blijft u verantwoordelijk voor de inhoud en voor de conclusie. Dat is ook de reden om de beoordeling niet te laten schrijven door de partij die het systeem verkoopt.
Wat u nu kunt doen
Begin met uw verwerkingsregister en markeer de verwerkingen die raken aan bijzondere gegevens, aan grootschalige monitoring of aan geautomatiseerde besluitvorming. Leg die naast de lijst van de Autoriteit Persoonsgegevens en de criteria uit de Europese richtsnoeren, en noteer per verwerking de uitkomst met een motivering. Daarmee heeft u meteen de verantwoording op orde.
Plan de DPIA vervolgens in de ontwerpfase, niet vlak voor de oplevering, en betrek van meet af aan de functionaris gegevensbescherming, de systeemeigenaar en waar nodig de ondernemingsraad. Werk met een vaste opzet die de vier onderdelen van artikel 35 AVG volgt, zodat later controleerbaar is dat geen onderdeel is overgeslagen. De tekst van de verordening vindt u bij EUR-Lex; de Nederlandse aanvullende regels staan in de Uitvoeringswet AVG.
Sluit af met een maatregelenplan met eigenaren en termijnen, en leg vast wanneer u de beoordeling opnieuw tegen het licht houdt. Bewaar de DPIA bij de stukken van de verwerking, zodat u hem bij een vraag van de toezichthouder of bij een incident direct kunt overleggen.
Veelgestelde vragen
Is een DPIA verplicht voor elke verwerking van persoonsgegevens?
Nee. Een DPIA is verplicht wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen, en in de drie gevallen die artikel 35 AVG uitdrukkelijk noemt. Voor gewone verwerkingen zoals een salarisadministratie of een klantenbestand is doorgaans geen DPIA nodig, mits u de afweging vastlegt.
Wie is verantwoordelijk voor het uitvoeren van de DPIA?
De verwerkingsverantwoordelijke. U mag de uitvoering uitbesteden aan een interne of externe specialist, maar de verantwoordelijkheid voor de inhoud en de conclusie blijft bij u liggen. Heeft u een functionaris gegevensbescherming, dan wint u diens advies in; die functionaris voert de DPIA in beginsel niet zelf uit, omdat hij daarop toezicht houdt.
Moet ik een DPIA publiceren?
Nee, de AVG verplicht daar niet toe. Publicatie van een samenvatting kan wel bijdragen aan transparantie, bijvoorbeeld bij verwerkingen waarover veel vragen leven. Publiceer dan geen details over beveiligingsmaatregelen die misbruik in de hand werken.
Wat is het verschil tussen een DPIA en een verwerkingsregister?
Het verwerkingsregister van artikel 30 AVG is een overzicht van al uw verwerkingen. Een DPIA is een verdiepende beoordeling van een specifieke verwerking met een hoog risico. Het register is de vindplaats, de DPIA is de analyse.
Moet de ondernemingsraad instemmen met een verwerking van werknemersgegevens?
Voor een regeling over personeelsvolgsystemen of over de verwerking van persoonsgegevens van werknemers geldt het instemmingsrecht van artikel 27 WOR. De DPIA vervangt die instemming niet; beide trajecten lopen naast elkaar en het is verstandig ze op elkaar af te stemmen.
Wat moet ik doen als het risico na alle maatregelen hoog blijft?
Dan raadpleegt u vooraf de Autoriteit Persoonsgegevens op grond van artikel 36 AVG en start u de verwerking niet voordat die raadpleging is afgerond. Vaak is het verstandiger eerst het ontwerp te beperken, zodat het restrisico daalt en de raadpleging niet nodig is.
Juridisch advies over een DPIA
De juridische kern van een DPIA zit in de noodzakelijkheids- en proportionaliteitstoets, in de keuze van de grondslag en in de vraag hoe ver u mag gaan tegenover werknemers, klanten of patienten. Dat zijn afwegingen die een toezichthouder achteraf toetst aan de motivering die u destijds hebt opgeschreven.
De privacyadvocaten van Law & More in Eindhoven beoordelen DPIA-rapporten, begeleiden de afstemming met de functionaris gegevensbescherming en de ondernemingsraad en staan organisaties bij in trajecten met de Autoriteit Persoonsgegevens. Neem contact op als u wilt weten of uw beoordeling de toets doorstaat.
