Gemeenten hebben vaak een wachtlijst met DPIA's vanwege de verwerkingen binnen de gemeentelijke organisatie die aan een DPIA moeten worden onderworpen. Dit kan zorgen voor druk en stress. Ontdek de 80-20 regel waarmee je een selectie maakt van DPIA's die de hoogste risico's hebben en de belangrijkste maatregelen identificeren.
Gemeenten hebben vaak veel verwerkingen waar een DPIA op uitgevoerd moet worden. Een DPIA moet worden uitgevoerd als deze op de lijst van de AP van verwerkingen waar een DPIA voor verplicht is staan of wanneer de verwerking voldoet aan minimaal twee van de criteria van de Europese privacytoezichthouders. Omdat gemeenten veel diensten leveren voor kwetsbare betrokkenen, zoals inwoners of medewerkers, is op veel verwerkingen van gemeenten een DPIA verplicht. Tegelijkertijd is de capaciteit van personen die DPIA's kunnen begeleiden vaak beperkt. Dit leidt tot een flinke wachtlijst van DPIA's die nog gedaan moeten worden.
Zo’n wachtlijst van DPIA’s kan druk en stress geven. Als er 40 DPIA's op de wachtlijst staan, lijkt het alsof er maar twee opties zijn.
Wij pleiten dat er nog een derde optie is: de 80-20 regel. Hier maak je een selectie van DPIA's, waarbij je rekening houdt met de hoogste risico's en grootste winst. In de online lunchsessie 'Slimmer aan de slag met DPIA’s‘ bespraken wij de 80-20 regel. Door het slim selecteren en uitvoeren van je DPIA’s, kun je in 20% van je DPIA’s, 80% van de hoogste risico’s en belangrijkste maatregelen identificeren.
Er zijn zes stappen die een privacy officer kan volgen om te komen tot de 20% van de DPIA’s, die je 80% van het inzicht bieden.
Het belangrijkste komt na het uitvoeren van de DPIA. De DPIA is namelijk niet afgelopen als je een rapport hebt geschreven. Uit vrijwel elke DPIA komen hoge risico's naar voren die gemitigeerd of geaccepteerd moeten worden. De zogeheten fase 2: prioriteren en oppakken van de maatregelen.
Het goede nieuws? Dat is de 80-20 regel. Een DPIA legt vaak risico's bloot die meerdere verwerkingen raken. Als de rollen en rechten bijvoorbeeld niet goed zijn ingesteld in de applicatie, kan dit erop wijzen dat er organisatiebreed een proces ontbreekt voor het beheren van autorisaties. Dit soort ontdekkingen zijn uitdagend omdat het probleem groter is dan het proces zelf. Het vraagt om een teamoverstijgende aanpak. Maar de winst is vaak ook veel groter. Voer je één DPIA uit, en implementeer je de maatregelen organisatiebreed, dan merk je dat de risico's van andere DPIA’s al gedeeltelijk mitigeren. Die processen profiteren van de maatregelen die je bij een ander proces hebt genomen
Wil je aan de slag met DPIA's? Neem dan even de tijd en pak niet de eerste de beste DPIA op. Dan zie je dat je niet hoeft te verzuipen.
Bijna een jaar AVG. Komende tijd nemen we je mee in de lessen die wij geleerd hebben in dat eerste half jaar. De eerste les gaat over de DPIA, Data Protection Impact Assessment. Oftewel de verplichte risico- en informatie-analyse. Ontdek de randvoorwaarden en tips bij het uitvoeren van een DPIA.
Lees verder
