De European Data Protection Board (EDPB) heeft op 10 maart jl. een geharmoniseerd model voor DPIA’s voorgesteld. DPIA staat voor Data Protection Impact Assessment. Bedrijven die voornemens zijn om bepaalde verwerkingen te gaan voeren die mogelijk een hoog risico voor de persoonlijke levenssfeer met zich meebrengen, zijn verplicht om eerst een risico-inschatting te maken. Tot uiterlijk 9 juni a.s. kan een reactie op het voorgestelde model worden ingediend.
Aanleiding voor dit initiatief van de EDPB, is de diversiteit aan modellen en methodes die zijn ontstaan. Zo heeft de Franse CNIL een DPIA-tool gepubliceerd, is er een Duits standaardmodel voor gegevensbescherming en heeft de Spaanse AEPD risicobeheer modellen ontwikkeld. Ook nationale overheden en beroepsorganisaties, zoals de NOREA, formuleerden hun eigen templates.
Het model van de EDPB nu beoogt Europese interoperabiliteit voor het aanpakken, het documenteren en het rapporteren van DPIA’s. Dit heeft grote voordelen. De verwachtingen over de scope en reikwijdte van een DPIA bij de betrokkenen, de verwerkingsverantwoordelijken en de toezichthouders zijn op elkaar afgestemd, waardoor het uitvoeren van DPIA’s meer effectief en kostenefficiënt uitgevoerd kan worden.
