AVG/ Privacy op school: de rol van de FG bij data protection impact assessment (DPIA)

Onder de Algemene verordening gegevensbescherming (AVG) moet de verwerkingsverantwoordelijke een data protection impact assessment (DPIA) uitvoeren wanneer een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert. Een DPIA geeft inzicht in de risico’s die gegevensverwerking binnen een school oplevert voor betrokkenen, zoals leerlingen, ouders en medewerkers. De verwerkingsverantwoordelijke moet bij het uitvoeren van een DPIA het advies van de Functionaris Gegevensbescherming (FG) inwinnen. In dit artikel leest u meer over de rol van de FG bij een DPIA.

Verantwoordelijkheid

Het is de verantwoordelijkheid van de verwerkingsverantwoordelijke om een data protection impact assessment (DPIA) uit te voeren als dat noodzakelijk is. Op grond van de AVG moet een verwerkingsverantwoordelijke een DPIA uitvoeren wanneer:

zijn organisatie systematisch en uitgebreid persoonlijke aspecten evalueert gebaseerd op geautomatiseerde verwerking;
zijn organisatie op grote schaal bijzondere persoonsgegevens of strafrechtelijke gegevens verwerkt;
zijn organisatie op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied.

De Autoriteit Persoonsgegevens heeft ook een lijst van soorten verwerkingen ontwikkeld waarvoor het uitvoeren van een DPIA verplicht is. De lijst is niet uitputtend.

Rol van de Functionaris Gegevensbescherming (FG)

De verwerkingsverantwoordelijke mag aan de Functionaris Gegevensbescherming (FG) advies vragen over de volgende zaken:

of het wel of niet nodig is om een DPIA uit te voeren;
of de onderzoeksmethode die de organisatie wil gaan gebruiken, geschikt is voor de DPIA;
of de organisatie de DPIA zelf kan uitvoeren of daarvoor een externe partij ingeschakeld moet worden;
welke waarborgen nodig zijn om de risico’s voor betrokkenen te beperken;
of het resultaat van de DPIA in overeenstemming is met de AVG.

Advies van de Functionaris Gegevensbescherming (FG)

De verwerkingsverantwoordelijke moet in het rapport over de DPIA opnemen wat de FG heeft geadviseerd. Ook moet de verwerkingsverantwoordelijke documenteren wat hij met het advies van de FG heeft gedaan.

Bronnen:

Autoriteit Persoonsgegevens

Meer informatie?

De FG’s van De Privacy Experts zijn deskundig, pragmatisch ingesteld, oplossingsgericht en hebben veel ervaring in het onderwijs. We bieden passende diensten aan tegen scherpe prijzen en ontwikkelen operationele AVG-kennisproducten die scholen goed kunnen gebruiken.

NIEUW: We bieden een totaaloplossing Privacy365 om het privacybewustzijn van de gehele organisatie doorlopend te borgen. Ontdek wat Privacy365 voor uw organisatie kan betekenen.

Wil je meer weten over onze visie of aanpak, of ben je benieuwd naar andere informatie? Neem dan vrijblijvend contact met ons op.