Een Data Protection Impact Assessment (DPIA) wordt vaak uitgevoerd wanneer een organisatie een nieuw systeem introduceert, een digitale dienst implementeert of een nieuwe leverancier inschakelt waarbij persoonsgegevens worden verwerkt. Het doel van een DPIA is om privacyrisico’s vooraf inzichtelijk te maken en passende maatregelen te bepalen voordat een verwerking start. De verplichting om een DPIA uit te voeren is vastgelegd in de Algemene verordening gegevensbescherming (AVG), de Wet politiegegevens (Wpg) en de Wet justitiële en strafvorderlijke gegevens (Wjsg).
In de praktijk blijkt dat bij veel DPIA’s vergelijkbare kwetsbaarheden naar voren komen. Digitale systemen worden steeds complexer, leveranciersketens groeien en technische keuzes worden niet altijd vanuit privacy-by-design ontworpen. Daardoor ontstaan risico’s die organisaties pas tijdens een DPIA echt scherp in beeld krijgen.
Juist daarom is een DPIA meer dan een verplichte analyse. Het is een belangrijk instrument om structurele privacyrisico’s te herkennen en organisaties te helpen hun digitale processen veiliger en transparanter in te richten.
In deze blog bespreken we een aantal veelvoorkomende risico’s die regelmatig in DPIA’s worden vastgesteld en die in veel organisaties herkenbaar zijn.
Logging
Logging is onmisbaar voor beveiliging, controle en foutanalyse. Zonder loggegevens kan een organisatie nauwelijks vaststellen wat er is gebeurd bij een incident. Toch ontstaat hier vaak een spanningsveld met het beginsel van dataminimalisatie.
In DPIA’s blijkt regelmatig dat systemen niet alleen technische metadata registreren, maar ook inhoudelijke gegevens. Denk aan volledige tekstvelden, ingevoerde antwoorden of uitgebreide gebruikersinteracties die automatisch in logbestanden belanden. Vaak is daar geen duidelijke noodzaak voor geformuleerd.
Daarnaast blijven logbestanden soms langdurig beschikbaar en zijn ze toegankelijk voor meerdere beheerders. Daarmee wordt een beveiligingsinstrument zelf een bron van risico. Het vergroten van controle mag niet leiden tot onnodige opslag van persoonsgegevens.
Een goede DPIA dwingt organisaties om scherp te definiëren wat het doel van logging is, welke gegevens daarvoor strikt noodzakelijk zijn en hoe lang deze mogen worden bewaard. Zonder die afbakening ontstaat er een structurele kwetsbaarheid.
Subverwerkers
Digitale dienstverlening bestaat zelden uit één partij. Leveranciers maken gebruik van hostingproviders, cloudinfrastructuur, analyseplatforms en ondersteunende diensten. Toch blijkt in DPIA’s dat subverwerkerslijsten niet altijd een volledig of actueel beeld geven.
Soms zijn nieuwe partijen toegevoegd zonder dat de documentatie is bijgewerkt. In andere gevallen blijkt uit technische analyse dat gegevens via cookies, API’s of externe endpoints bij derden terechtkomen die niet expliciet zijn genoemd.
Dit raakt direct aan transparantie en accountability. Wanneer het niet volledig duidelijk is wie persoonsgegevens verwerken, wordt het lastig om passende waarborgen te toetsen of internationale doorgiften correct te beoordelen.
Een DPIA moet daarom verder kijken dan contractuele bijlagen. De feitelijke technische inrichting en datastromen verdienen minstens zoveel aandacht als wat formeel is vastgelegd.
Inzageverzoeken
Het recht op inzage lijkt juridisch helder, maar in technische systemen blijkt de uitvoering complexer. Veel leveranciers bieden een inzagetool of exportfunctie, maar die blijkt in de praktijk niet altijd volledig.
Het komt voor dat een export wel laat zien wanneer iemand heeft ingelogd of welke handeling is verricht, maar niet de daadwerkelijke inhoud van ingevoerde gegevens bevat. In andere situaties zijn gegevens verspreid over meerdere modules, waardoor een volledig overzicht alleen handmatig kan worden samengesteld.
Voor organisaties die afhankelijk zijn van hun leverancier, vormt dit een reëel risico. Als een betrokkene geen compleet overzicht ontvangt, kan dat leiden tot klachten of handhaving.
Bij een DPIA kijk je dus ook naar de manier waarop systemen verzoeken van betrokkenen verwerken en beoordeelt of deze ondersteuning volledig, efficiënt en juridisch toereikend is ingericht.
Bewaartermijnen
Een terugkerend aandachtspunt in DPIA’s is het ontbreken van scherp gedefinieerde bewaartermijnen. Gegevens worden soms bewaard zolang een account actief is of voor algemene doelen zoals serviceverbetering, vaak zonder verdere onderbouwing.
Met name bij loggegevens, service- en diagnose-informatie of gepseudonimiseerde datasets blijft de retentie onduidelijk. Dat vergroot het risico dat persoonsgegevens langer beschikbaar blijven dan noodzakelijk, met mogelijke heridentificatie of onnodige accumulatie tot gevolg.
Bij het bepalen van bewaartermijnen hoort ook de praktische uitvoering, zoals het automatisch verwijderen van gegevens en het beheer van back-ups.
Als je bij een DPIA deze vragen niet concreet adresseert, laat je een wezenlijk risico liggen.
Testomgevingen
Veel aandacht gaat uit naar externe dreigingen, maar interne toegang in test- en ontwikkelomgevingen vormt eveneens een kwetsbaarheid. In de praktijk worden regelmatig productiedata gebruikt om functionaliteiten te testen. Daarbij gelden soms minder strikte toegangsbeperkingen dan in de live-omgeving.
Ontwikkelaars of beheerders kunnen daardoor toegang krijgen tot volledige datasets, inclusief gevoelige informatie. Wat in productie zorgvuldig is afgeschermd, blijkt in testomgevingen soms ruimer toegankelijk te zijn.
Het gebruik van gesynthetiseerde of gemaskeerde testdata en een strikte rolgebaseerde toegangscontrole zijn hier erg belangrijk. Een DPIA moet expliciet aandacht besteden aan deze fase van de datalevenscyclus, omdat juist daar vaak onbedoelde risico’s ontstaan.
De rol van de FG: kritisch, onafhankelijk en vooruitkijkend
Bij al deze onderwerpen speelt de Functionaris gegevensbescherming een belangrijke rol. De FG voert de DPIA niet zelf uit, maar beoordeelt of het proces zorgvuldig is verlopen en of de risicoanalyse volledig en evenwichtig is.
Dat betekent dat de FG kritisch moet toetsen of de genoemde kwetsbaarheden daadwerkelijk zijn onderzocht, of voorgestelde maatregelen proportioneel zijn en of restrisico’s acceptabel zijn gemotiveerd. Ook bewaakt de FG de opvolging van actiepunten en documenteert hij/zij het gegeven advies.
Deze rol vraagt om zowel juridische expertise als inzicht in technische architecturen en leveranciersconstructies. Zeker bij complexe digitale omgevingen is dat niet altijd een eenvoudige opgave.
Externe FG-ondersteuning als structurele oplossing
Niet iedere organisatie beschikt intern over de benodigde combinatie van tijd, kennis en ervaring om DPIA’s diepgaand te analyseren. In zulke gevallen kan een externe invulling van de FG-rol uitkomst bieden.
De FG-as-a-service van De Privacy Experts biedt organisaties onafhankelijke toetsing van DPIA’s, kritische beoordeling van leveranciersconstructies en ondersteuning bij het vaststellen van restrisico’s. Daarbij wordt niet alleen gekeken naar de juridische documentatie, maar ook naar de technische realiteit achter de verwerking.
