Skip to main content

Gegevensbeschermingseffectbeoordeling (DPIA) voor AI-systemen: artikel 35 AVG

De DPIA is een AVG-verplichting, geen verplichting uit de AI-verordening. Wanneer AI-systemen er een nodig hebben en de relatie met de FRIA.

Een gegevensbeschermingseffectbeoordeling (DPIA) is een verplichting op grond van artikel 35 AVG, niet van de AI-verordening. Een verwerkingsverantwoordelijke moet er een uitvoeren vóór een verwerking die waarschijnlijk een hoog risico voor de rechten en vrijheden van personen inhoudt. AI-systemen die personen profileren, op grote schaal bijzondere categorieën van persoonsgegevens verwerken of openbare ruimten monitoren, zijn typische gevallen.

De AI-verordening verwijst naar de DPIA in artikel 26, lid 9 en artikel 27, lid 4. Bij overtreding van artikel 35 AVG bedraagt de boete tot 10 miljoen EUR of 2 % van de wereldwijde jaaromzet. Het hoogste bedrag geldt (artikel 83, lid 4, AVG). Volgende stap: controleer of uw systeem persoonsgegevens verwerkt en wie de verwerkingsverantwoordelijke is.

Artikel 35, lid 3, AVG noemt drie gevallen waarin een DPIA vereist is

  • Systematische en uitgebreide beoordeling op basis van geautomatiseerde verwerking

    Dit omvat de beoordeling van persoonlijke aspecten, waaronder profilering, waarop besluiten worden gebaseerd die rechtsgevolgen hebben voor de persoon of hem op vergelijkbare wijze significant treffen (artikel 35, lid 3, onder a)). Voorbeeld: kredietscoring.

  • Verwerking op grote schaal van bijzondere categorieën van gegevens of strafrechtelijke gegevens

    Dit omvat bijzondere categorieën van persoonsgegevens uit artikel 9, lid 1, AVG en gegevens over strafrechtelijke veroordelingen en strafbare feiten uit artikel 10 (artikel 35, lid 3, onder b)). Voorbeeld: een AI-systeem dat op grote schaal gezondheidsgegevens verwerkt.

  • Systematische monitoring op grote schaal van een openbaar toegankelijk gebied

    Dit omvat monitoring van openbare ruimten op grote schaal (artikel 35, lid 3, onder c)). Voorbeeld: videoanalyse in een openbare ruimte.

Toezichthoudende autoriteiten publiceren lijsten van andere soorten verwerking waarvoor een DPIA vereist is (artikel 35, lid 4, AVG).

Een DPIA heeft vier minimale onderdelen

  • Beschrijving van de verwerking

    Een systematische beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden, waar van toepassing met inbegrip van het nagestreefde gerechtvaardigde belang (artikel 35, lid 7, onder a)).

  • Noodzaak en evenredigheid

    Een beoordeling van de noodzaak en evenredigheid van de verwerking ten opzichte van de doeleinden (artikel 35, lid 7, onder b)).

  • Risico's voor betrokkenen

    Een beoordeling van de risico's voor de rechten en vrijheden van de personen van wie gegevens worden verwerkt (artikel 35, lid 7, onder c)).

  • Maatregelen tegen de risico's

    De waarborgen, beveiligingsmaatregelen en mechanismen die de risico's aanpakken en aantonen dat aan de AVG wordt voldaan (artikel 35, lid 7, onder d)).

De verwerkingsverantwoordelijke vraagt ook het advies van de functionaris voor gegevensbescherming, indien aangewezen (artikel 35, lid 2). Waar passend vraagt hij de standpunten van betrokkenen of hun vertegenwoordigers (artikel 35, lid 9). Hij toetst de DPIA ten minste wanneer het risico verandert (artikel 35, lid 11). Blijkt uit de DPIA een hoog risico dat de verwerkingsverantwoordelijke niet beperkt, dan raadpleegt hij eerst de toezichthoudende autoriteit (artikel 36).

Een DPIA en een FRIA zijn aparte beoordelingen die inhoud kunnen delen

  • Andere wetten en andere onderwerpen

    De DPIA komt uit de AVG en gaat over de bescherming van persoonsgegevens. De FRIA komt uit artikel 27 van de AI-verordening en gaat over grondrechten.

  • Andere partijen met een verplichting

    Een DPIA rust op de verwerkingsverantwoordelijke, publiek of privaat. De FRIA rust alleen op de gebruiksverantwoordelijken die in artikel 27, lid 1, staan.

  • Gedeelde inhoud

    Voldoet de DPIA al aan een verplichting uit artikel 27, dan mag de FRIA ernaar verwijzen of delen ervan opnemen (artikel 27, lid 4). De FRIA moet nog steeds elk onderdeel van artikel 27, lid 1, omvatten.

Wat de DPIA-beoordeling van Scanara doet

Scanara beslist niet of een DPIA vereist is. U beslist dat als verwerkingsverantwoordelijke, samen met uw functionaris voor gegevensbescherming.

Begeleide DPIA-vragen

Een vragenbank volgt de inhoud van artikel 35, lid 7, AVG. U beantwoordt de vragen; Scanara slaat de antwoorden op als bewijs en stelt het DPIA-rapport op.

Antwoorden vooraf ingevuld op basis van scans

Als u een repository hebt gescand, vult Scanara antwoorden vooraf in op basis van de scanresultaten. U controleert en corrigeert ze.

Koppeling met de FRIA

Een FRIA-beoordeling kan verwijzen naar een goedgekeurde DPIA van hetzelfde systeem (artikel 27, lid 4).

Open de Scanara-demo

Meer over de omliggende regels

Veelgestelde vragen over de DPIA

Vereist de AI-verordening een DPIA?

Nee. De verplichting komt uit artikel 35 AVG. De AI-verordening verwijst er alleen naar: gebruiksverantwoordelijken van hoogrisicosystemen gebruiken waar van toepassing de informatie van de aanbieder op grond van artikel 13 voor hun DPIA (artikel 26, lid 9).

Vervangt een AVG-gegevensbeschermingseffectbeoordeling de FRIA?

Nee. Een gegevensbeschermingseffectbeoordeling kan delen van de FRIA leveren, omdat artikel 27, lid 4, de gebruiksverantwoordelijke toestaat ernaar te verwijzen of relevante delen op te nemen, maar alleen voor verplichtingen uit artikel 27 die daarmee al zijn vervuld. De FRIA moet nog steeds elk onderdeel van artikel 27, lid 1, omvatten.

Wanneer is een DPIA nodig voor een AI-systeem?

Wanneer de verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van natuurlijke personen inhoudt (artikel 35, lid 1, AVG). Artikel 35, lid 3, noemt drie gevallen waarin een DPIA vereist is: systematische en uitgebreide beoordeling op basis van geautomatiseerde verwerking, verwerking op grote schaal van bijzondere categorieën van gegevens of strafrechtelijke gegevens, en monitoring van openbare ruimten op grote schaal. Controleer ook de lijst van uw toezichthoudende autoriteit.

Wat gebeurt er als een vereiste DPIA wordt overgeslagen?

Boetes tot 10 miljoen EUR of, voor een onderneming, tot 2 % van de totale wereldwijde jaaromzet van het voorgaande boekjaar, als dat bedrag hoger is (artikel 83, lid 4, onder a), AVG).

Scanara bereidt bewijs voor vanuit uw repositories

Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.