Een DPIA, of gegevensbeschermingseffectbeoordeling, onderzoekt vooraf welke risico’s een verwerking voor mensen meebrengt en hoe die worden beperkt. Artikel 35 AVG vereist een DPIA wanneer de voorgenomen verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Een bruikbaar document bevat een systematische beschrijving, een beoordeling van noodzaak en evenredigheid, een risicoanalyse en de voorziene maatregelen. De conclusie moet op die analyse steunen, niet op een vooraf gekozen groen eindvak.
Deze pagina biedt een aanpasbare template en een ingevuld, fictief voorbeeld van cameratoezicht bij een publiek toegankelijke bedrijfsreceptie. De toelichting laat zien welke feiten u moet onderzoeken en welke besluiten nog van uw eigen situatie afhangen. Het voorbeeld is geen verklaring dat iedere kantoorcamera verplicht een DPIA nodig heeft of na dezelfde maatregelen toegestaan is. Het helpt de beoordeling uitvoeren en een verantwoord besluit over uitvoering, aanpassing of niet starten vastleggen.
Bepaal eerst waarom een DPIA nodig is
Artikel 35 lid 1 vraagt een beoordeling van de aard, omvang, context en doeleinden, met bijzondere aandacht voor het gebruik van nieuwe technologie. Lid 3 noemt onder meer een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering, waarop besluiten met rechtsgevolgen of vergelijkbaar wezenlijke gevolgen worden gebaseerd. Daarnaast worden grootschalige verwerking van artikel 9- of artikel 10-gegevens en stelselmatige grootschalige monitoring van openbaar toegankelijke ruimten genoemd.
De Nederlandse AP heeft op grond van artikel 35 lid 4 een verplichte DPIA-lijst vastgesteld, gepubliceerd op 27 november 2019. Zij bevat zeventien omschreven soorten verwerkingen. Lees de volledige omschrijving van de toepasselijke categorie. Bij cameratoezicht vermeldt de lijst grootschalige en/of stelselmatige monitoring van openbaar toegankelijke ruimten. Heimelijk cameratoezicht door werkgevers bij diefstal- of fraudebestrijding heeft een eigen, ook incidenteel toepasselijke regel. Dat zijn geen identieke drempels.
De lijst is niet uitputtend. Een verwerking die niet onder een genoemde categorie valt, kan op grond van artikel 35 lid 1 toch een DPIA vereisen. De AP-uitleg over DPIA’s verwijst daarvoor naar negen Europese beoordelingscriteria. Twee of meer criteria vormen een vuistregel, geen wettelijk rekenmechanisme dat één criterium altijd veilig verklaart. Ook bij minder criteria moet de conclusie dat waarschijnlijk geen hoog risico bestaat worden onderbouwd.
Houd geldende regels en voorstellen uit elkaar. De AP vroeg in juni 2026 reacties op een voorlopige lijst van DPIA-uitzonderingen. De consultatiepagina, bijgewerkt op 11 augustus 2026, beschrijft daarna nog advies van de EDPB, definitieve vaststelling en publicatie voordat de lijst officieel geldig is. Baseer een vrijstelling niet alleen op het consultatiedocument of het verstrijken van de reactietermijn. Controleer voor toepassing de geldende formele publicatie en haar voorwaarden.
Kies een afbakening die de echte verwerking omvat
Beschrijf welke verwerking wordt beoordeeld en waar de grens ligt. Een DPIA voor een camera-installatie moet bijvoorbeeld niet alleen de opname zelf omvatten, maar ook live meekijken, terugzoeken, exporteren, onderhoud en verwijdering. Als de leverancier op afstand toegang heeft, hoort dat in de beschrijving. Een beoordeling van uitsluitend het beeldscherm bij de receptie mist belangrijke gegevensstromen en kan de werkelijke risico’s onderschatten.
Benoem de verantwoordelijke, betrokken verwerkers, personen en gegevenscategorieën. Vermeld het doel en de juridische grondslag, plus eventuele aanvullende voorwaarden voor bijzondere persoonsgegevens of strafrechtelijke gegevens. Artikel 35 lid 7 noemt waar toepasselijk ook de gerechtvaardigde belangen die worden nagestreefd. Een DPIA levert zelf geen grondslag en heft geen verwerkingsverbod op. Zonder rechtmatige route kan de conclusie zijn dat het ontwerp niet mag worden uitgevoerd.
Het stappenplan voor een DPIA beschrijft de organisatie van het werk; deze template richt zich op de inhoud van het dossier. Voor de juridische reikwijdte is ook de uitleg over de gegevensbeschermingseffectbeoordeling relevant. Gebruik verwijzingen om het document leesbaar te houden, maar zorg dat de onderliggende stukken toegankelijk en actueel zijn voor degenen die het besluit moeten nemen.
Betrek de juiste mensen zonder verantwoordelijkheid te verschuiven
Wanneer een functionaris voor gegevensbescherming is aangewezen, moet de verantwoordelijke diens advies inwinnen bij het uitvoeren van de DPIA. “Waar mogelijk” is daarvoor niet de juiste algemene formulering: artikel 35 lid 2 koppelt de verplichting aan het bestaan van een aangewezen FG. De FG adviseert en houdt toezicht vanuit zijn rol, maar wordt daardoor niet de eigenaar van ieder uitvoeringsbesluit. Leg advies en de reactie van de verantwoordelijke herkenbaar vast.
Artikel 35 lid 9 behandelt het vragen naar de mening van betrokkenen of hun vertegenwoordigers waar passend, met inachtneming van commerciële of publieke belangen en de beveiliging van verwerkingen. Dat is meer dan alleen bij twijfel een willekeurige gebruiker vragen. Onderzoek welke vorm zinvol en verantwoord is. Bij een proces dat werknemers raakt kan hun perspectief andere gevolgen zichtbaar maken dan een technische risicoanalyse. Eventuele medezeggenschapsrechten moeten daarnaast afzonderlijk worden beoordeeld.
Betrek ook de mensen die maatregelen gaan uitvoeren. Een voorgestelde toegangsbeperking is weinig waard als de leverancier die niet kan instellen. Een bewaartermijn is onuitvoerbaar als de beheerder niet weet welke gebeurtenis de verwijdering moet starten. Laat experts aannames controleren en vermeld openstaande vragen. Een DPIA met zichtbare onzekerheden en concrete vervolgacties is bruikbaarder dan een document dat ontbrekende feiten stilzwijgend als gunstig aanneemt.
Aanpasbare DPIA-template
De onderstaande structuur ondersteunt de minimumonderdelen van artikel 35 lid 7 en voegt praktische velden voor besluitvorming toe. Die extra velden zijn geen afzonderlijke universele wettelijke vormeisen. Vul de onderdelen in met feiten, verwijzingen en beargumenteerde conclusies. Een numerieke score kan ondersteunen, maar is niet verplicht en vervangt de uitleg van waarschijnlijkheid en ernst niet. Gebruik één consistente betekenis voor kwalificaties zoals laag, middel en hoog.
DPIA: [naam verwerking]
Versie/datum: [versie]
Verantwoordelijke organisatie en besluitnemer: [gegevens]
Proceseigenaar en betrokken deskundigen: [functies]
Status: [in onderzoek / aanpassing nodig / besluit genomen]
1. Aanleiding en afbakening
- Waarom is deze DPIA vereist of gekozen?
- Artikel 35-drempel en toepasselijke AP-categorie: [beoordeling].
- Welke verwerkingen, locaties en levensfasen vallen eronder?
- Welke aannames, onzekerheden en afhankelijkheden bestaan?
2. Systematische beschrijving
- Aard, omvang, context en doeleinden: [feitelijk beschrijven].
- Betrokkenen, gegevens, bronnen, systemen en gegevensstromen.
- Verantwoordelijke, verwerkers, ontvangers en toegangsrollen.
- Rechtsgrond(en); indien relevant aanvullende artikel 9/10-regels.
- Indien toepasselijk: nagestreefde gerechtvaardigde belangen.
- Bewaring, verwijdering, herstel, doorgiften en onderhoud.
3. Noodzaak en evenredigheid
- Waarom is deze verwerking geschikt en noodzakelijk voor het doel?
- Welke minder ingrijpende alternatieven zijn onderzocht en waarom
volstaan die wel of niet?
- Hoe zijn gegevens, gebruik, toegang en bewaring begrensd?
- Hoe krijgen mensen informatie en oefenen zij rechten uit?
- Welke overige wettelijke voorwaarden en waarborgen gelden?
4. Risico's voor mensen
Beschrijf per scenario:
- Gebeurtenis, oorzaak en kwetsbaarheid.
- Wie kan worden geraakt en wat zijn de gevolgen voor diens
rechten en vrijheden?
- Waarschijnlijkheid en ernst vóór aanvullende maatregelen,
met motivering en relevante onzekerheden.
5. Maatregelen en resterende risico's
Beschrijf per risico:
- Technische/organisatorische maatregel en beoogde werking.
- Eigenaar, invoering, afhankelijkheden en bewijs van werking.
- Resterende waarschijnlijkheid en ernst, met motivering.
- Grenzen van de maatregel en nog openstaande acties.
6. Advies en besluit
- FG-advies indien een FG is aangewezen, en reactie daarop.
- Waar passend: mening van betrokkenen/vertegenwoordigers;
gekozen aanpak en eventuele redenen om die niet te vragen.
- Uitkomst: aanpassen, niet starten of starten onder concreet
geverifieerde voorwaarden.
- Blijft een hoog risico bestaan dat voorafgaande raadpleging
volgens artikel 36 vereist? [gemotiveerde beoordeling].
- Besluitnemer, datum en bewijs dat voorwaarden zijn uitgevoerd.
7. Beheer
- Wie bewaakt maatregelen en wijzigingen?
- Wanneer is herbeoordeling nodig?
- Koppeling met register, ontwerpbesluiten en relevante stukken.
Ingevuld voorbeeld: camera bij een bedrijfsreceptie
Het volgende voorbeeld is fictief. De onderneming heeft een receptie die tijdens openingstijden voor bezoekers toegankelijk is en wil die toegang stelselmatig filmen. Daarom wordt in dit scenario de cameracategorie van de AP-lijst toegepast. De beschrijving bevat aannames die een echte organisatie moet verifiëren. Het voorbeeld geeft bewust geen onvoorwaardelijke startgoedkeuring: voorgestelde maatregelen moeten aantoonbaar werken voordat hun effect als vaststaand kan worden behandeld.
DPIA: cameratoezicht receptie Voorbeeldbedrijf
Status: ontwerp aanpassen; startbesluit nog niet genomen.
Beschrijving
Doel: onderzoeken van concrete onbevoegde toegang en diefstal bij
de receptie. Geen prestatiebeoordeling van werknemers.
Beeld: vaste camera gericht op de toegangszone, zonder geluid,
gezichtherkenning of koppeling aan personeelsbeoordelingen.
Personen: bezoekers, medewerkers en leveranciers.
Opname tijdens openingstijden; geen opname van pauzeruimten.
Lokale opslag; alleen aangewezen beveiligingsfunctionarissen mogen
beelden terugzoeken. Onderhoudstoegang wordt afzonderlijk geregeld.
Noodzaak en evenredigheid
Hypothese: gedocumenteerde incidenten bij de toegang zijn ondanks
verbeterde sloten en bezoekersregistratie blijven bestaan.
Te verifiëren: incidentanalyse en effect van alternatieven.
Voorgenomen grondslag: gerechtvaardigd belang, onder voorbehoud van
volledige belangenafweging en bevestigde noodzakelijkheid.
Beeldhoek wordt beperkt tot de noodzakelijke toegangszone.
Voorgestelde bewaring: 48 uur, op basis van dagelijkse controle en
snelle incidentmelding; weekendafhandeling nog te onderbouwen.
Een concreet incidentfragment kan afzonderlijk nodig blijven zolang
het incidentdoel dat rechtvaardigt, met beperkte toegang.
Risicoscenario 1: beelden worden voor personeelsbeoordeling gebruikt.
Gevolgen: druk op werknemers en onterechte arbeidsrechtelijke
conclusies. Ernst: aanzienlijk. Kans zonder begrenzing: reëel.
Maatregelen: doelgebonden rechten, geen koppeling met HR-systemen,
controleerbare inzage en export, duidelijke instructie en toezicht.
Resterend risico: nog te beoordelen na controle van bevoegdheden en
de mogelijkheid om exports buiten het proces te maken.
Risicoscenario 2: onbevoegden krijgen beelden of kopieën.
Gevolgen: blootstelling van aanwezigheid en gedrag van bezoekers.
Maatregelen: passende authenticatie, beperkte beheerrechten,
beveiligde opslag/overdracht en controle van onderhoudstoegang.
Resterend risico: afhankelijk van technische verificatie en de
feitelijke rol van de onderhoudsleverancier.
Risicoscenario 3: personen worden onvoldoende geïnformeerd.
Maatregelen: zichtbare korte informatie vóór betreden van de zone,
met gemakkelijk bereikbare volledige informatie en contactroute.
Controle: beoordeel zichtbaarheid en begrijpelijkheid vanuit de
looproute van bezoekers, niet alleen vanaf de receptiebalie.
Besluit
Niet starten totdat noodzaak, belangenafweging, beeldhoek, bewaring,
rechtenproces en beveiligingsmaatregelen zijn geverifieerd en het
resterende risico gemotiveerd is beoordeeld.
Vraag FG-advies indien aangewezen; betrek vertegenwoordigers waar
passend en beoordeel toepasselijke medezeggenschapsrechten.
Blijft een hoog restrisico bestaan, dan voorafgaande raadpleging
volgens artikel 36 vóór de verwerking.
Zo beoordeelt u de noodzaak in het voorbeeld
Een verwijzing naar diefstal is nog geen bewijs dat juist deze camera nodig is. Onderzoek welke incidenten zich voordoen, waar de bestaande maatregelen tekortschieten en wat het beeld daadwerkelijk kan bijdragen. Misschien is de opnamehoek ongeschikt om de relevante gebeurtenis vast te stellen of lost een toegangsmaatregel het probleem beter op. De belangenafweging bij gerechtvaardigd belang moet op zulke feiten steunen, met aandacht voor de gevolgen voor bezoekers en werknemers.
De voorgestelde 48 uur is een fictieve ontwerpkeuze, geen wettelijke standaard. In een echt dossier moet blijken waarom incidenten binnen die tijd kunnen worden ontdekt en onderzocht. Een weekend of beperkte bezetting kan de aanname veranderen. De veelgebruikte verwijzing naar vier weken bij camerabeelden mag evenmin als automatische bewaarplicht of toestemming voor maximale bewaring worden behandeld. Bepaal de noodzakelijke duur en beoordeel afzonderlijk het bewaren van een concreet relevant incidentfragment.
Kijk verder dan de opname zelf. Een export naar een persoonlijke map kan de oorspronkelijke bewaarbeperking doorbreken. Een brede toegang voor leidinggevenden kan het doel van beveiliging verschuiven naar personeelscontrole. De doelbinding begrenst dat verdere gebruik; een nieuw intern verzoek maakt het niet automatisch toegestaan. Leg daarom vast wie een export of nieuw gebruik beoordeelt en welke technische beperkingen die werkwijze ondersteunen.
Beschrijf risico’s als gevolgen voor mensen
Een DPIA gaat niet primair over omzetverlies, reputatieschade van het bedrijf of de kosten van een incident. Beschrijf wat de betrokkene kan overkomen: ongewenste observatie, uitsluiting, discriminatie, verlies van vertrouwelijkheid of een onjuiste beslissing. Een beveiligingsrisico kan zulke gevolgen hebben, maar ook een systeem dat technisch correct werkt kan een onrechtmatige of onevenredige beoordeling van mensen ondersteunen. Beperk de analyse daarom niet tot hacking.
Maak het scenario concreet genoeg om maatregelen te kunnen kiezen. “Privacyrisico hoog” zegt weinig over de oorzaak of oplossing. “Een leidinggevende kan beeldfragmenten zonder toezicht exporteren en voor beoordelingen gebruiken” maakt duidelijk welke toegang, instructie en controle onderzocht moeten worden. Beoordeel waarschijnlijkheid en ernst apart en houd rekening met kwetsbare groepen. Een kleine kans op een zeer ingrijpend gevolg kan nog steeds zwaar wegen.
Vermeld onzekerheden expliciet. Als de leverancier niet duidelijk kan maken wie bij onderhoud toegang heeft, mag de analyse niet veronderstellen dat niemand de beelden ziet. Een voorlopige inschatting kan nodig zijn om vervolgstappen te bepalen, maar presenteer haar niet als bevestigd restrisico. Laat zien welke informatie ontbreekt, wie die opvraagt en welk besluit daardoor nog niet kan worden genomen. Dat maakt het document praktisch bestuurbaar.
Koppel maatregelen aan bewijs van werking
Verbind iedere maatregel met het risico dat zij moet verminderen. Een bordje informeert bezoekers, maar voorkomt niet dat een onbevoegde beheerder beelden exporteert. Versleuteling kan vertrouwelijkheid beschermen, maar verhindert niet ieder oneigenlijk gebruik door een bevoegde medewerker. De eisen van artikel 32 AVG vragen passende beveiliging; de DPIA moet uitleggen hoe die en andere maatregelen samen de gevolgen voor personen beperken.
Leg vast wie de maatregel uitvoert en hoe de werking wordt gecontroleerd. Bij toegangsbeperking kan dat een beoordeling van concrete rollen en een controle vanuit een beperkt account zijn. Bij bewaring kan het gaan om een gecontroleerd verwijderproces en de behandeling van exports. Benoem afhankelijkheden, zoals een leverancier die een instelling moet aanpassen. Een actie zonder eigenaar of uitvoerbaar moment behoort nog niet tot het bewezen resultaat.
Gebruik de uitkomsten in privacy by design. De DPIA beschrijft de risico’s en afwegingen; de inrichting moet de gekozen begrenzingen werkelijk uitvoeren. Omgekeerd kan technische verificatie aanleiding geven de DPIA te herzien wanneer een maatregel minder effectief blijkt. Het document en het ontwerp horen elkaar dus tijdens het project te informeren, niet pas bij een eenmalige ondertekening aan het einde.
Besluit over starten en voorafgaande raadpleging
Als na de voorziene maatregelen een hoog risico blijft bestaan, moet de verantwoordelijke onder de voorwaarden van artikel 36 de toezichthouder vooraf raadplegen. Dat is iets anders dan iedere DPIA ter goedkeuring indienen. Een interne acceptatie van een hoog restrisico door de directie vervangt de voorgeschreven raadpleging niet. Beoordeel ook of aanpassing of het niet uitvoeren van de verwerking een passende uitkomst is.
De verantwoordelijke moet de beoordeling en het besluit kunnen uitleggen, ook wanneer de conclusie is dat geen voorafgaande raadpleging nodig is. Schrijf niet alleen “laag” omdat bekende maatregelen zijn opgesomd. Geef aan welke gevolgen overblijven, waarom die beoordeling gerechtvaardigd is en welke voorwaarden vóór ingebruikname moeten zijn vervuld. Behoud de verschillen tussen voorgesteld, uitgevoerd en gecontroleerd. Die status voorkomt dat een plan ten onrechte als gerealiseerde bescherming wordt behandeld.
Het nalaten van een verplichte DPIA kan op zichzelf tot handhaving leiden. De AP legde ICS bij besluit van 18 december 2023 een boete van 150.000 euro op wegens overtreding van artikel 35 lid 1. De publicatiebestandslocatie uit 2024 is niet de beslisdatum. Het is een concrete zaak, geen vast tarief voor ieder ontbrekend document en geen bewijs dat alle identificatieprocessen dezelfde DPIA-uitkomst hebben.
Maak bij een voorwaardelijk besluit duidelijk welke afhankelijkheden een start blokkeren. Als de camera technisch is ingesteld maar de exportrechten nog niet zijn gecontroleerd, is het risico van onbeheerde kopieën nog niet aantoonbaar beperkt. Een handtekening onder de DPIA verandert die feitelijke status niet. De besluitnemer moet kunnen zien welke voorwaarden zijn vervuld, welk bewijs daarbij hoort en welke punten nog openstaan. Gebruik daarvoor bijvoorbeeld een verwijzing naar de gecontroleerde configuratie en het toegangsbesluit. Zo blijft ook later te reconstrueren welke versie van de verwerking is beoordeeld. Een andere locatie of ruimere beeldhoek kan een nieuwe beoordeling vragen, ook wanneer hetzelfde cameramodel wordt gebruikt.
Houd de DPIA bruikbaar tijdens het beheer
Artikel 35 lid 11 verlangt waar nodig een herbeoordeling om te controleren of de verwerking overeenkomstig de DPIA plaatsvindt, in ieder geval wanneer het risico verandert. Een nieuw doel, extra koppeling, andere leverancier of nieuwe techniek kan zo’n aanleiding zijn. Spreek af wie veranderingen doorgeeft en wie de beoordeling actualiseert. Een kalendercontrole kan nuttig zijn, maar één universele verplichte jaarlijkse herhaling volgt niet uit dit artikel.
Koppel de DPIA aan het verwerkingsregister, zonder te doen alsof het volledige document een verplicht registerveld is. Bij veel beoordelingen kan AVG-beheersoftware helpen maatregelen, eigenaren en versies te ordenen. Controleer de feitelijke ondersteuning en exportmogelijkheden. De organisatie moet ook zonder verkooppresentatie kunnen uitleggen welk risico is beoordeeld en op welk bewijs haar besluit berust.
Veelgestelde vragen
Is iedere camera DPIA-plichtig?
Nee, beoordeel de concrete verwerking aan artikel 35 en de toepasselijke AP-lijst. De omschrijving kan onder meer afhangen van stelselmatige monitoring, schaal, publieke toegankelijkheid of heimelijke werknemerscontrole. De fictieve receptie in dit voorbeeld is bewust als stelselmatig gemonitorde publiek toegankelijke ruimte beschreven. Die aanname mag niet zonder onderzoek naar iedere andere camera worden gekopieerd.
Is twee Europese criteria altijd de beslissende grens?
Nee. Het is een vuistregel uit de begeleiding bij het beoordelen van waarschijnlijk hoog risico. Een verplichte AP-categorie heeft haar eigen omschrijving, en ook met één criterium kan een DPIA nodig zijn. Onderbouw de beslissing aan de hand van de feiten. Gebruik het ontbreken van een tweede vinkje niet als automatische vrijstelling.
Kan een DPIA achteraf nog iets verbeteren?
Een verplichte voorafgaande beoordeling wordt niet alsnog tijdig doordat u haar later uitvoert. Dat betekent niet dat bestaande risico’s onherstelbaar zijn. Onderzoek de verwerking, tref noodzakelijke maatregelen en beoordeel of voortzetting verantwoord is. Leg de feitelijke situatie en vervolgstappen eerlijk vast, zonder te doen alsof een later opgesteld document al vóór de start bestond.