Wanneer is een DPIA verplicht? Een praktische beslisroute

Wanneer is een DPIA verplicht? De kernvraag is niet of een project nieuwe technologie gebruikt, maar of de voorgenomen verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van mensen oplevert; die beoordeling hoort plaats te vinden voordat de verwerking begint¹. De organisatie moet de aard, omvang, context en doeleinden samen bekijken en mag één opvallend kenmerk niet als snel antwoord gebruiken; de toets kijkt vooruit naar mogelijke gevolgen en nog aanpasbare keuzes, zodat voorziene werking in plaats van verkoopbeloften de beslissing draagt.

Artikel 35 noemt daarnaast drie gevallen waarin een DPIA in beginsel verplicht is¹, terwijl de algemene toets ook buiten die voorbeelden van kracht blijft. Daar helpen de WP248-criteria om samenlopende risicofactoren zichtbaar te maken². Ook de toepasselijke positieve en negatieve lijsten van de bevoegde toezichthouder horen in de afweging. De uitkomst kan ja of nee zijn, maar moet in beide gevallen beredeneerd, duidelijk controleerbaar, toegewezen en herzienbaar worden vastgelegd.

Snel antwoord Een DPIA is vóór de start verplicht als een voorgenomen verwerking waarschijnlijk een hoog risico voor rechten en vrijheden oplevert. Toets de drie gevallen van artikel 35, de relevante risicocriteria en de toepasselijke lijsten. Leg daarna een gemotiveerd ja of nee vast, met eigenaar, bewijs en herzieningsmoment.

Laatst bijgewerkt: 30 september 2026

Begin bij waarschijnlijk hoog risico

De wettelijke vraag gaat over het waarschijnlijke risico van de voorgenomen verwerking, niet over het etiket dat een leverancier of projectteam erop plakt. Artikel 35 koppelt de DPIA aan een type verwerking dat, gelet op aard, omvang, context en doeleinden, waarschijnlijk een hoog risico oplevert¹. Dat vraagt om een gezamenlijke blik op wat er met persoonsgegevens gebeurt, wie erdoor kan worden geraakt en hoe ernstig of moeilijk herstelbaar de gevolgen kunnen zijn.

Nieuwe technologie kan de onzekerheid of impact vergroten, maar is op zichzelf geen automatische trigger; een bekende techniek kan door schaal, gegevenscategorie, koppeling of beslissingsmacht alsnog riskant worden. Omgekeerd hoeft een nieuw hulpmiddel bij een kleine, afgebakende en weinig ingrijpende verwerking niet vanzelf tot hoog risico te leiden; de technologie is dus bewijs binnen de toets, niet de toets zelf¹.

Voer deze beoordeling uit voordat de verwerking begint¹. Dat tijdstip is inhoudelijk belangrijk: een DPIA moet ontwerpkeuzes, waarborgen en de beslissing over doorgaan nog kunnen beïnvloeden. Wie pas na ingebruikname redeneert, beschrijft eerder een voldongen feit dan een voorafgaande risicobeoordeling. Noteer daarom het voorgestelde doel, de verwerkingsstappen, betrokken groepen en aannames terwijl alternatieven nog openstaan.

Een werkbare eerste conclusie luidt niet simpelweg “AI dus DPIA” of “klein bedrijf dus geen DPIA”. Zij luidt bijvoorbeeld dat bepaalde kenmerken samen waarschijnlijk hoog risico veroorzaken, of dat de beperkte feiten dat voorlopig niet ondersteunen. Beide conclusies blijven voorwaardelijk totdat de verplichte gevallen, criteria en relevante lijsten zijn gecontroleerd.

Toets eerst de drie verplichte gevallen

Artikel 35 noemt drie soorten verwerking waarvoor de DPIA-route rechtstreeks in beeld komt. Elk geval bevat voorwaarden; een woord als “automatisch”, “gevoelig” of “monitoring” los noemen is onvoldoende. Het team moet de feitelijke combinatie aantonen en vastleggen waarom die wel of niet binnen het geval valt¹.

De eerste rij gaat niet over elke geautomatiseerde stap. Het gaat om systematische en uitgebreide evaluatie van persoonlijke aspecten, gebaseerd op geautomatiseerde verwerking waaronder profilering, waarna een besluit met rechtsgevolg of een vergelijkbaar aanzienlijk gevolg wordt genomen¹. Beschrijf dus zowel het evaluatiemechanisme als de feitelijke beslissingsimpact. Een menselijke klik aan het einde verandert de analyse niet als de geautomatiseerde beoordeling de uitkomst feitelijk bepaalt.

Bij de tweede rij moeten gegevenssoort en schaal samen worden vastgesteld¹. Leg niet alleen vast dat een dataset bijzondere gegevens bevat, maar ook hoeveel mensen, welke duur, welk bereik en welke verwerkingsintensiteit spelen. De richtsnoeren bieden context om zulke factoren als samenhangend risicobeeld te beoordelen². De onderschrijving door de Europese toezichthouders bevestigt het belang van die beoordelingsroute³.

De derde rij vereist systematische én grootschalige monitoring van openbaar toegankelijke ruimten¹. Een incidentele observatie is iets anders dan een georganiseerd patroon; een beperkt bereik is iets anders dan grootschaligheid. Ook hier moet het dossier laten zien welke feiten de kwalificatie dragen, in plaats van alleen de naam van een camera- of analysetool te noteren².

Lees de drie rijen als voorwaarden, niet als trefwoorden¹. “Evaluatie” zonder aanzienlijk besluit, “bijzondere gegevens” zonder grootschaligheid en “monitoring” zonder het systematische en grootschalige karakter beantwoorden de verplichte-gevalvraag nog niet². Ze blijven relevant voor de bredere hoogrisicotoets.

Baken eerst de verwerking af en toets vervolgens de verplichte gevallen. Als geen verplicht geval geldt, lopen de criteria en lijsten en daarna de toets op waarschijnlijk hoog risico door; een ja leidt tot de DPIA en een nee tot een gemotiveerd dossier. Na de DPIA bepaalt het restrisico of voorafgaande raadpleging nodig kan zijn, en beide eindroutes krijgen een herzieningsprikkel².

Gebruik de negen criteria als risicoscherm

Wanneer geen van de drie verplichte gevallen de vraag volledig beantwoordt, bieden de negen WP248-criteria een gestructureerd scherm². Het zijn geen negen zelfstandige wettelijke verboden; ze helpen herkennen welke kenmerken samen de kans en ernst van gevolgen voor mensen vergroten, en welke feiten nog ontbreken om de toets op waarschijnlijk hoog risico goed te maken³.

Twee criteria wijzen volgens de richtsnoeren gewoonlijk op de noodzaak van een DPIA². Dat is een praktische aanwijzing, geen wettelijke drempel: meer criteria maken de noodzaak waarschijnlijker, maar één criterium kan bij voldoende gewicht al volstaan; het omgekeerde geldt ook. Een mechanische telling mag een ernstig, projectspecifiek risico niet wegdrukken.

Beoordeel daarom niet alleen of een criterium kan worden aangekruist; noteer per rij de concrete feiten, de bron daarvan, onzekerheden en de mogelijke gevolgen voor rechten en vrijheden. Laat daarna zien hoe de factoren elkaar versterken of juist begrenzen. De onderschreven richtsnoeren ondersteunen deze samenhangende toepassing².

Maak ook zichtbaar welk criterium op welk deel van de verwerking ziet. Een kwetsbare groep kan bijvoorbeeld alleen bij één processtap betrokken zijn, terwijl datasetkoppeling de hele keten raakt; die afbakening voorkomt dat een algemeen projectetiket de werkelijke concentratie van risico verhult³. De eindweging verbindt vervolgens die plaats, kans, ernst en herstelbaarheid aan de algemene hoogrisicovraag.

Controleer positieve en negatieve lijsten

Naast artikel 35 en de criteria moet de organisatie de relevante lijsten van de bevoegde toezichthouder controleren. Artikel 35 voorziet in lijsten van verwerkingen waarvoor een DPIA verplicht is en verwerkingen waarvoor dat niet het geval is¹. Welke lijst relevant is, hangt af van de concrete verwerking en de bevoegde toezichthouder; een willekeurige lijst uit een ander land is geen vervanging voor die analyse.

Leg vast welke positieve en negatieve lijst is geraadpleegd, op welke datum, welke passage mogelijk aansluit en waarom de feiten wel of niet onder de voorwaarden vallen; een positieve match kan de ja-route bevestigen. Een negatieve match ondersteunt alleen binnen haar precieze reikwijdte een nee-route en neemt de algemene toets op waarschijnlijk hoog risico niet weg.

Noem in een generiek besluitvormingskader geen verzonnen nationale voorbeelden, nationale autoriteiten of nationale drempels. Het dossier moet juist verwijzen naar de werkelijk bevoegde bron voor het project. Zo blijft het oordeel controleerbaar zonder een lokale regel te verheffen tot een algemene Europese veilige haven.

Houd een echte nee-route open

Een zorgvuldige beoordeling kan gemotiveerd op “geen DPIA vereist” uitkomen. Niet elke verwerking veroorzaakt waarschijnlijk een hoog risico, en de AVG kent geen regel dat gewone gegevensverwerking automatisch hoog risico is¹. Tegelijk bestaat geen algemene vrijstelling omdat een organisatie klein is. Grootte kan een feit binnen omvang en capaciteit zijn, maar vervangt de risicotoets niet.

Een beperkte mailinglijst kan bijvoorbeeld weinig ingrijpend zijn wanneer zij een afgebakend doel, normale contactgegevens, beperkte ontvangers en geen indringende profilering of koppeling kent²; dat voorbeeld is geen veilige haven. Als dezelfde lijst gevoelige voorkeuren afleidt, kwetsbare personen omvat, op grote schaal wordt gekoppeld of beslissingen stuurt, verandert het samenstel van feiten en mogelijk de uitkomst.

Hetzelfde geldt voor beperkte reclame aan eigen klanten: een gangbare, transparante activiteit zonder systematische observatie of aanzienlijk gevolg kan na beoordeling buiten de DPIA-plicht vallen². Voeg echter monitoring, onverwachte databronnen, uitgebreide scoring of uitsluiting van een dienst toe en de risicoanalyse moet opnieuw worden gemaakt. Het woord “marketing” beslist dus evenmin als het woord “AI”.

Een bruikbare nee-route benoemt wat is onderzocht en waarom de combinatie niet waarschijnlijk tot hoog risico leidt. Zij verwijst naar de verplichte gevallen, de toepasselijke criteria en de lijstcontrole, noemt onzekerheden en zet een herzieningsprikkel. Zonder die onderbouwing is “geen DPIA” slechts een onbewezen conclusie; met haar wordt het een controleerbaar besluit dat kan veranderen wanneer de feiten veranderen.

Beschrijf bovendien waarom een beperkt kenmerk werkelijk beperkt blijft. Een klein aantal betrokkenen zegt weinig wanneer de mogelijke schade uitzonderlijk zwaar is, terwijl een grotere maar eenvoudige verwerking niet automatisch eenzelfde risicoprofiel heeft. Leg de relevante begrenzingen daarom afzonderlijk vast: gegevenssoort, bereik, duur, beslisimpact, toegang en verwachte gevolgen.

Een nee-uitkomst mag ook voorwaarden bevatten; het team kan vastleggen dat de conclusie alleen geldt zolang geen nieuwe koppeling, profilering, gevoelige gegevens of ingrijpende beslissing wordt toegevoegd. Zulke voorwaarden veranderen de beoordeling niet in een veilige haven; ze vertalen de huidige redenering naar herkenbare signalen voor een nieuwe toets.

Leg zowel ja als nee controleerbaar vast

Het screeningsdossier moet een collega die niet bij de eerste bespreking was in staat stellen de redenering te volgen. Begin met de afgebakende activiteit: doeleinden, gegevens, betrokkenen, schaal, systemen, ontvangers en geplande start. Noteer vervolgens de feiten bij de toets van artikel 35, de criteria en de relevante lijstcontrole². Een verzameling vinkjes zonder context is daarvoor te dun.

Leg de conclusie expliciet vast als “DPIA uitvoeren” of “DPIA niet vereist op basis van de huidige feiten”. Benoem de redenering die de stap van bewijs naar conclusie draagt en neem de zienswijze van de functionaris voor gegevensbescherming op wanneer die rol van toepassing is¹. Een afwijkend advies hoort zichtbaar te blijven; het mag niet verdwijnen in een samenvatting.

Elk besluit krijgt een eigenaar, beslisdatum en herzieningsprikkel; de eigenaar bewaakt niet alleen het document maar ook de aannames waarop het rust. Denk aan een wijziging in doel, schaal, gegevenssoort, doelgroep, koppeling, leverancier of beslisimpact. De richtsnoeren maken van documentatie een onderdeel van aantoonbare, herhaalbare beoordeling².

Bewaar ook welk bewijs is gebruikt: een procesontwerp, gegevensinventaris, leveranciersinformatie, risicoanalyse of lijstversie. Zo kan een latere reviewer onderscheiden of een verschil van inzicht voortkomt uit nieuwe feiten, een andere risicoweging of een oude aanname die nooit is gecontroleerd.

Noteer tot slot de status van ontbrekend bewijs; een open vraag is geen negatief feit en mag dus niet stilletjes de nee-route ondersteunen. Benoem wie de informatie ophaalt, wanneer die nodig is en of het besluit tot dat moment voorlopig blijft. Daarmee bewaart het dossier het verschil tussen aantoonbaar laag risico en nog niet onderzocht risico.

Werk bij een ja de vier DPIA-onderdelen uit

Een ja-uitkomst opent het inhoudelijke DPIA-werk; zij is niet het eindproduct. Artikel 35 verlangt een beoordeling die de verwerking begrijpelijk maakt, de noodzaak en evenredigheid onderzoekt, risico’s voor mensen benoemt en passende antwoorden vastlegt¹. De richtsnoeren helpen om die onderdelen als één besluitvormingsproces te behandelen².

• Een systematische beschrijving van de voorgenomen verwerking en haar doeleinden, inclusief het gerechtvaardigde belang wanneer dat aan de orde is¹.
• Een beoordeling van de noodzaak en evenredigheid van de verwerkingsactiviteiten ten opzichte van die doeleinden².
• Een beoordeling van de risico’s voor de rechten en vrijheden van betrokkenen, met voldoende concrete scenario’s om ernst en waarschijnlijkheid te begrijpen.
• De beoogde maatregelen, waarborgen, beveiliging en mechanismen die het risico aanpakken en aantoonbare naleving ondersteunen.

De vier onderdelen moeten op elkaar aansluiten; een algemene procesbeschrijving maakt niet duidelijk welk risico bij welke stap ontstaat, en een lijst maatregelen zonder koppeling aan risico’s maakt niet duidelijk wat zij beheersen. Houd daarom de lijn zichtbaar van verwerkingsstap naar effect op mensen, van effect naar risicoweging en van risicoweging naar maatregel¹. Leg bij elke maatregel ook vast welk risico zij verlaagt en welke aanname over werking later moet worden gecontroleerd.

Vraag waar passend naar de zienswijze van betrokkenen of hun vertegenwoordigers, met oog voor commerciële of publieke belangen en de bescherming van de verwerking. Documenteer waarom die raadpleging wel, anders of niet plaatsvond. Betrek tevens de relevante interne deskundigheid; de formele verantwoordelijkheid blijft bij de organisatie die over de verwerking beslist.

Blijft ondanks de voorgenomen maatregelen waarschijnlijk een hoog restrisico bestaan, dan kan voorafgaande raadpleging van de bevoegde toezichthouder nodig zijn voordat de verwerking begint. Een “ja” tegen de DPIA is dus geen automatische toestemming om te starten. Het kan juist blootleggen dat aanvullende waarborgen of een formele vervolgstap nodig zijn. Noteer bij een lager restrisico eveneens waarom de resterende blootstelling aanvaardbaar is en welke signalen die conclusie opnieuw openen.

Het EDPB-template is optioneel

Het EDPB heeft op 14 april 2026 een DPIA-template vastgesteld, maar laat verwerkingsverantwoordelijken uitdrukkelijk vrij om hun eigen DPIA-methodologie te kiezen ⁴. Het template is dus niet verplicht en schept geen nieuwe trigger uit artikel 35. Zonder interne methode biedt het een gratis structuur; naast een bestaande methode werkt het als controle. De consultatie sloot op 9 juni 2026 en de officiële pagina zegt nog steeds dat het template na de consultatie zal worden afgerond ⁵.

Plan herziening als onderdeel van het besluit

Een DPIA is geen momentopname die na goedkeuring buiten beeld raakt. Artikel 35 verlangt waar nodig een herbeoordeling om te bepalen of de verwerking nog overeenkomstig de DPIA wordt uitgevoerd, in elk geval wanneer het risico verandert¹. De richtsnoeren behandelen dit als een doorlopend proces².

Maak de herziening uitvoerbaar door vooraf concrete prikkels te noemen: een nieuw doel, andere gegevens, grotere schaal, extra koppeling, nieuw model, andere leverancier, gewijzigde groep betrokkenen of een incident. Koppel elke prikkel aan een eigenaar en een bewijsbron. Plan daarnaast een passend controlemoment wanneer veranderingen anders gemakkelijk onopgemerkt blijven².

Hetzelfde geldt voor een gemotiveerde nee-uitkomst. Zodra de feiten of aannames wijzigen, moet het team nagaan of de eerdere reden nog standhoudt. Herziening beschermt daarmee zowel tegen een verouderde DPIA als tegen een verouderde beslissing om er geen te maken.

Pas de route toe op concrete situaties

Een organisatie wil sollicitanten automatisch rangschikken en de laagst scorende kandidaten zonder betekenisvolle beoordeling afwijzen. De systematische evaluatie, geautomatiseerde beslissingsmacht en aanzienlijke toegangseffecten brengen het verplichte geval en meerdere criteria samen¹. De werkbare uitkomst is een DPIA vóór ingebruikname, met expliciete aandacht voor gegevens, modelwerking, menselijke tussenkomst en gevolgen.

Een zorgverlener wil op grote schaal bijzondere gezondheidsgegevens combineren om behandelrisico’s te voorspellen. De gegevenscategorie en schaal plaatsen de verwerking rechtstreeks in een verplicht geval¹. Koppeling, kwetsbaarheid en evaluatie versterken bovendien het risicobeeld². Een projectteam moet daarom niet blijven tellen of een losse technische proef als argument gebruiken, maar de DPIA openen en de vier inhoudelijke onderdelen doorlopen.

Een winkel gebruikt een beperkte klantenlijst om bestaande klanten over eigen vergelijkbare producten te informeren, zonder profilering, gevoelige gegevens, koppeling of systematische monitoring. Na controle van de concrete schaal, verwachtingen, criteria en relevante lijsten kan de uitkomst gemotiveerd “geen DPIA vereist” zijn. Die uitkomst is voorwaardelijk: uitbreiding naar uitgebreide tracking, datasetkoppeling of uitsluitende scoring opent de beoordeling opnieuw.

Een gebouwbeheerder overweegt cameramonitoring in een openbaar toegankelijke ruimte. De vraag is niet alleen of een camera aanwezig is, maar of de monitoring systematisch en grootschalig is¹. Zijn die voorwaarden vervuld, dan geldt het verplichte geval. Zijn zij niet vervuld, dan blijven context, kwetsbaarheid, opslag, analysemogelijkheden en lijstcontrole relevant voordat een nee-uitkomst kan worden verantwoord.

Een klein team test een nieuwe planningsfunctie met beperkte zakelijke contactgegevens en zonder beslissingen over mensen. Innovatief gebruik kan één criterium raken, maar één label levert niet automatisch hoog risico op¹. Het team beoordeelt alle feiten, motiveert waarom overige criteria ontbreken of beperkt zijn, controleert de toepasselijke lijsten en zet een herzieningsprikkel voor opschaling. Zo blijft zowel de ja- als de nee-route echt.

Bij elk voorbeeld hoort dezelfde discipline: splits feiten, criterium en uitkomst. Een sollicitatiesysteem is niet verplicht omdat het “AI” heet, maar vanwege de combinatie van evaluatie, automatisering en aanzienlijk gevolg. Een klantenlijst is niet vrijgesteld omdat zij gangbaar klinkt, maar kan na begrensde feiten en volledige toets een nee-uitkomst dragen. Die formulering voorkomt dat voorbeelden in latere projecten als onvoorwaardelijke regel worden gekopieerd.

Veelgestelde vragen

Wanneer is een DPIA volgens artikel 35 verplicht?

Een DPIA is vóór de verwerking verplicht wanneer de voorgenomen verwerking waarschijnlijk een hoog risico voor rechten en vrijheden oplevert¹. Artikel 35 noemt daarnaast drie specifieke gevallen. Toets ook steeds de WP248-criteria² en de relevante lijsten. De combinatie van concrete feiten, niet de projectnaam, bepaalt de uitkomst.

Betekenen twee criteria automatisch een DPIA?

Nee. Twee criteria wijzen volgens de richtsnoeren gewoonlijk op een DPIA, en meer criteria maken dat waarschijnlijker¹. Het blijft echter een richtsnoer en geen wettelijke telgrens². Eén criterium kan bij voldoende ernst al volstaan³. Leg daarom de samenhang en de gevolgen voor mensen vast, inclusief factoren die risico versterken of begrenzen.

Is een klein bedrijf vrijgesteld?

Nee. De AVG bevat geen algemene kleineondernemingsvrijstelling voor de DPIA-toets¹. Gewone, beperkte verwerking is ook niet automatisch hoog risico². Een nee-uitkomst is mogelijk, maar moet op de feitelijke aard, omvang, context, doeleinden, criteria en lijstcontrole rusten.

Welke rol hebben de lijsten van de toezichthouder?

Controleer de voor de verwerking relevante positieve en negatieve lijsten¹. Een positieve match kan de plicht bevestigen. Een negatieve lijst werkt alleen binnen haar voorwaarden en vervangt de algemene risicotoets niet. Leg bron, versie, passage en toepassingsredenering vast. Bewaar ook de datum, zodat een latere reviewer weet welke lijstversie is gebruikt.

Wat bevat een DPIA?

Zij bevat een systematische beschrijving en doeleinden, de toets op noodzaak en evenredigheid, de risico’s voor rechten en vrijheden en de maatregelen en waarborgen. Raadpleeg betrokkenen waar passend. Bij blijvend hoog restrisico kan voorafgaande raadpleging nodig zijn. De inhoud moet ontwerpkeuzes, resterend risico en het besluit over starten aantoonbaar kunnen beïnvloeden, met een eigenaar voor uitvoering en controle.

Is het DPIA-template van het EDPB verplicht?

Nee. Het EDPB heeft het template op 14 april 2026 vastgesteld, maar het is niet verplicht: verwerkingsverantwoordelijken mogen hun eigen DPIA-methodologie kiezen ⁴. De consultatie sloot op 9 juni 2026 en de officiële pagina zegt nog steeds dat het template na de consultatie wordt afgerond ⁵. Het biedt een gratis structuur of controle op een bestaande methode en schept geen nieuwe DPIA-trigger.

Wanneer moet de beoordeling terugkomen?

Herzie wanneer de verwerking of het risico verandert². Nieuwe doelen, gegevens, schaal, koppelingen, betrokken groepen of technische oplossingen zijn bruikbare prikkels. Wijs eigenaar, datum en bewijsbron toe. Ook een nee-uitkomst keert terug wanneer haar aannames wijzigen, want een DPIA is een voortdurend proces. Een vooraf benoemde prikkel voorkomt dat verandering pas na een incident wordt opgemerkt.