DPIA

Wat is een DPIA?

De DPIA — in de AVG de gegevensbeschermingseffectbeoordeling — is een onderzoek dat je uitvoert vóórdat je met een verwerking begint die waarschijnlijk een hoog privacyrisico oplevert. Je beschrijft welke gegevens worden verwerkt en waarom, beoordeelt de risico's voor de betrokkenen, en legt vast welke maatregelen die risico's terugbrengen tot een aanvaardbaar niveau.

Anders dan de AIIA is de DPIA in bepaalde gevallen wettelijk verplicht. Die verplichting rust op de organisatie die de verwerking bepaalt — bij gebruik van Codi is dat de opdrachtgever, niet Platform Codi.

Wie doet wat?

Bij het gebruik van Codi is de afnemende organisatie verwerkingsverantwoordelijke en dus aan zet voor de DPIA. Wij zijn verwerker en leveren de informatie die daarvoor nodig is: welke gegevens Codi verwerkt, waar dat gebeurt, welke leveranciers in de keten zitten, hoe lang we bewaren en welke beveiligingsmaatregelen we treffen. Die informatie staat grotendeels in ons Privacy Statement en vullen we op verzoek aan.

Wat wij hebben gedaan

Voor het platform zelf hebben we een DPIA-prescan doorlopen, waarin we de privacyrisico's van Codi in kaart hebben gebracht en de maatregelen hebben vastgesteld die we daarop nemen. Die prescan is samen met een opdrachtgever ingevuld en delen we daarom niet als document.

Wat we wél doen: alle informatie aanleveren die je nodig hebt om je eigen DPIA in te vullen — welke gegevens Codi verwerkt, met welke grondslag, waar dat gebeurt, wie er in de keten zitten, hoe lang we bewaren en welke maatregelen we treffen. In de praktijk lopen we dat desgewenst samen met je door.

Wanneer welk assessment?

De DPIA, de IAMA en de AIIA overlappen deels maar kijken elk door een andere bril: de DPIA naar de bescherming van persoonsgegevens, de IAMA naar de gevolgen voor mensenrechten, en de AIIA naar de risico's die specifiek bij AI horen. Welke combinatie past, hangt af van de toepassing en van je eigen beleid. We denken daar graag in mee.