Wat is een DPIA?
Een Data Protection Impact Assessment (DPIA) is een verplichte risicoanalyse die je uitvoert voordat je met een nieuwe verwerking van persoonsgegevens begint waarbij een hoog risico voor betrokkenen wordt verwacht. Denk aan het invoeren van een nieuw HR-systeem, het opzetten van cameratoezicht rondom je bedrijfspand, het gebruiken van AI-tools die klantgegevens verwerken, of het profileren van klanten voor marketingdoeleinden.
Met een DPIA breng je in kaart welke risico’s die verwerking oplevert voor de betrokkenen, je klanten, medewerkers of leveranciers, en welke maatregelen je neemt om die risico’s te beperken. De DPIA is expliciet benoemd in artikel 35 van de AVG en is dus een formeel onderdeel van de wet.
Kortom: een DPIA kijkt naar wat je met persoonsgegevens doet en welke risico’s dat oplevert voor de mensen wiens data je verwerkt.
Wat is een DTIA?
Een DTIA (Data Transfer Impact Assessment, ook wel Transfer Impact Assessment of TIA genoemd) draait om iets heel anders: de doorgifte van persoonsgegevens naar landen buiten de Europese Economische Ruimte (EER). Sinds het Schrems II-arrest van het Europees Hof van Justitie in 2020 is het namelijk niet meer voldoende om te vertrouwen op standaardcontractbepalingen (SCC’s) wanneer je data verstuurt naar bijvoorbeeld de Verenigde Staten, India of het Verenigd Koninkrijk.
Je moet zelf onderzoeken of het land van bestemming een beschermingsniveau biedt dat “essentially equivalent” is aan dat van de EU. Als dat niet het geval is, moet je bepalen welke aanvullende technische, organisatorische of contractuele maatregelen nodig zijn om alsnog aan de AVG te voldoen. In tegenstelling tot de DPIA is de DTIA geen zelfstandig document dat expliciet in de AVG staat, maar een aanvulling die vaak samen met (of als onderdeel van) een DPIA wordt uitgevoerd.
Kortom: een DTIA kijkt naar waar je persoonsgegevens naartoe stuurt en of dat land voldoende bescherming biedt.
Waarom raakt dit ook het MKB?
Veel ondernemers denken dat een DTIA iets is voor multinationals met eigen datacenters op meerdere continenten. In de praktijk raakt het bijna elk bedrijf dat gebruikmaakt van populaire clouddiensten, e-mailmarketing tools, CRM-systemen, HR-software of AI-toepassingen. Zodra een leverancier data verwerkt op servers buiten de EU, of zelfs alleen maar toegang heeft tot die data vanuit een niet-EU-land, kom je in DTIA-gebied.
Enkele veelvoorkomende voorbeelden waarin je onbewust internationale data doorgifte doet:
- Je klanten- of leadgegevens staan in een Amerikaans CRM-systeem
- Je gebruikt AI-tools die data verwerken op servers in de VS of Azië
- Je e-mailmarketing loopt via een tool waarvan de moederorganisatie buiten de EU zit
- Je videobelt via een platform dat metadata buiten de EER opslaat
- Je klantensupport draait op software met support-teams in derde landen
Wanneer welk assessment?
De vuistregel is helder:
- Nieuwe verwerking met privacyrisico’s? → DPIA
- Data die de EU verlaat of toegankelijk is buiten de EU? → DTIA
- Beide van toepassing? → beide uitvoeren, want ze vullen elkaar aan
In de praktijk starten ondernemers vaak met een DPIA, waarna uit die risicoanalyse blijkt dat er ook een DTIA nodig is. Dat is geen dubbel werk, maar een logische volgorde: eerst kijken wat je doet, dan waar de data heen gaat.
Hoe pak je een DTIA praktisch aan?
Een gestructureerde DTIA bestaat grofweg uit vier stappen:
Stap 1: Breng de datastromen in kaart. Welke persoonsgegevens gaan waarheen? Wie is de exporteur (jij) en wie de importeur (je leverancier of vestiging)? Om welke categorieën betrokkenen gaat het?
Stap 2: Beoordeel het beschermingsniveau van het derde land. Heeft het land een adequaatheidsbesluit van de Europese Commissie? Zo ja, dan ben je in de meeste gevallen klaar. Zo nee, dan volgt stap 3.
Stap 3: Analyseer de lokale wetgeving. Bestaat er surveillance wetgeving die de rechten van betrokkenen ondermijnt? Voor de VS is dit sinds Schrems II een bekend aandachtspunt, maar ook landen als China, India en Rusland kennen wetten die haaks staan op de AVG.
Stap 4: Bepaal aanvullende maatregelen. Denk aan encryptie waarbij alleen jij de sleutels bezit, pseudonimisering, aanvullende contractuele clausules of het overstappen naar een EU-alternatief.
Zelf doen of uitbesteden?
Een DPIA of DTIA kun je in theorie zelf uitvoeren, maar juist bij de DTIA komt veel juridische en technische kennis kijken over onder andere buitenlandse surveillance wetgeving, encryptietechnieken en internationale contractrecht. Voor veel MKB-bedrijven is het efficiënter om een privacy-expert in te schakelen die het traject in een aantal sessies doorloopt en direct een assessment oplevert dat voldoet aan de eisen van de Autoriteit Persoonsgegevens.
Partijen als DPO Consultancy ,inmiddels onderdeel van de Benelux-brede Resilience Group, begeleiden dit soort trajecten regelmatig, bieden praktische toolkits (zoals kant-en-klare DTIA-checklists) en werken zowel voor MKB als voor grotere organisaties in sectoren als life sciences, zorg, overheid en industrie.
Tot slot: waarom je dit niet moet uitstellen
De boetes voor het niet uitvoeren van een verplichte DTIA kunnen oplopen tot 4% van de wereldwijde jaaromzet of 20 miljoen euro, afhankelijk van wat hoger is. Maar minstens zo pijnlijk is de reputatieschade. Klanten, partners en investeerders vragen steeds vaker om privacy-documentatie voordat ze zaken doen. Wie het verschil tussen DPIA en DTIA begrijpt en beide op orde heeft, ziet dat AVG-compliance geen bureaucratische last is, maar een manier om bewust en professioneel met klantgegevens om te gaan. En dat is iets waar je als ondernemer alleen maar sterker van wordt.
