23 juni 2026
Je ziet steeds vaker dat in privacy- en functieprofielen de DPIA (Data Protection Impact Assessment) als een belangrijk en op zichzelf staand onderwerp wordt benoemd.
De vraag is echter: is dat terecht? Of zetten we hiermee ten onrechte het paard VOOR de wagen in plaats van ERACHTER? Dit als wij de DPIA als het paard zien!
Inbedding in plaats van isolatie
Een aanpak die ik al jaren voorsta is Privacy & Security by Design (AVG, art. 25 in combinatie met art. 5.1.f de passende maatregelen)).
Dit betekent dat privacy en security geen losse exercitie zijn, maar onderdeel van de reguliere bedrijfsvoering en processen, zoals:
- Risk Management
- Inkoop en aanbesteding (Programma van Eisen)
- Ontwikkeling en beheer van informatiesystemen (architectuur, PSA)
- Service management en Changemanagement (de keten en de leveranciers)
- Functioneel en technisch ontwerp (architectuur, PSA, ontwerpen)
Binnen de bedrijfsvoering en de processen is de Handleiding Privacy by Design van de Rijksoverheid een uitstekend hulpmiddel om daaraan gestructureerd invulling te geven.
De onderlinge relatie tussen Privacy & Security by Design en DPIA
De verhouding tussen Privacy by Design en de DPIA is in essentie complementair:
- Privacy by Design als fundament. Privacy by Design vormt de basis voor het ontwerp van systemen en processen. Door vanaf het begin rekening te houden met privacyprincipes worden risico’s al zoveel mogelijk beperkt.
- DPIA als toets en terugkoppeling. De DPIA is vervolgens een beoordelings- en verantwoordingsinstrument binnen de AVG. Deze brengt resterende risico’s in kaart en toetst of de getroffen maatregelen voldoende zijn.
Wanneer uit de DPIA blijkt dat risico’s nog te hoog zijn, volgt logischerwijs een terugkoppeling naar het ontwerp. Daar worden de Privacy by Design principes opnieuw toegepast om het ontwerp te verbeteren.
Conclusie
- De Handleiding Privacy by Design ondersteunt het zorgvuldig ontwerpen van processen en systemen met privacy als uitgangspunt.
- De DPIA is geen losstaand doel op zich, maar een instrument om te toetsen, te documenteren en bij te sturen waar nodig.
- Samen vormen zij geen tegenstrijdigheid, maar een logisch cyclisch proces: ontwerpen, toetsen en verbeteren binnen de kaders van de AVG.
De plaatjes zijn op basis van het artikel met AI gemaakt.