Juli 2026. De AVG vereist een DPIA bij verwerkingen met waarschijnlijk hoog risico — denk aan grootschalige monitoring, gevoelige data, AI-profiling of nieuwe SaaS met PII. AP toezicht en enterprise due diligence vragen steeds vaker: waar is de DPIA en wanneer herzien?
Triggers voor DPIA
- nieuwe verwerking of grote wijziging in bestaande;
- systematische monitoring van medewerkers of klanten;
- gevoelige categorieën op schaal;
- AI/automated decision-making met impact op personen;
- overdracht buiten EER zonder adequaatsheid.
Proces en bewijs
DPO betrokken, risico’s en mitigaties vastgelegd, go/no-go besluit. Herzie bij wijziging in scope, vendor of technologie. Koppel aan AVG hub, ISO 27701 en ISMS risicoregister.
Interne audit steekproef: kies één verwerking met PII en volg keten DPIA → SoA → contract → technische maatregelen.
Negatieve DPIA-beslissing (“niet nodig”) moet gemotiveerd zijn — AP accepteert geen blanco checklist.
Herziening en living document
DPIA is levend document — herzie bij nieuwe feature, vendor, dataclassificatie of AI-model. Versiebeheer en goedkeuring DPO in dossier.
Koppel mitigaties uit DPIA aan SoA-controls en tickets — auditors volgen keten van risico naar implementatie.
Negatieve DPIA: motiveer met concrete criteria (geen gevoelige categorieën op schaal, geen profiling) — AP toetst steekproeven.
Vervolgstappen in uw ISMS
Vertaal dit artikel naar één concrete actie in uw risicoregister of verbeterplan: eigenaar, deadline, gewenst bewijs. Bespreek voortgang in het eerstvolgende management review-overleg — auditors en ketenpartners willen besluiten zien, niet alleen beleidsintentie. Koppel waar mogelijk aan bestaande ISO 27001-, NIS2- of AVG-documentatie zodat u geen parallelle mappen onderhoudt.
Heeft u vragen over scope, certificering of keteneisen? Gebruik onze readiness-overzicht en kennisbank-pagina’s voor diepere guidance. Dit artikel vervangt geen juridisch of auditorisch advies voor uw specifieke situatie.
Deel relevante bevindingen kort met lijnmanagement en inkoop — compliance wordt pas werkbaar wanneer de hele organisatie dezelfde prioriteiten herkent. Herhaal de gekozen actie kwartaal in teamoverleg en update evidence-locaties in uw SoA of controleplan zodat surveillance steekproeven snel te beantwoorden zijn.