What is a DPIA, what not?

Posted on 14 mei 202521 november 2025 by admin

What is a DPIA, what not?

A DPIA is a Data Protection Impact Assessment. It is mandatory under the GDPR in certain cases. What is it and what isn’t it? When is it mandatory? And what is the role of the Data Protection Officer?

What is the DPIA?

The DPIA is the report of a thorough brainstorming session. A plan has been made to do something with personal data, but this could pose risks with regard to privacy. Therefore, the DPIA outlines step by step exactly what processing operations are planned and for what purpose; what the risks are; whether these risks can be adequately covered; whether everything complies with the GDPR; whether any remaining risks that cannot be covered are proportionate to the purpose; and whether, based on all of this, the plans may or may not be implemented. In other words, it is a comprehensive, step-by-step analysis of whether certain plans are actually such a good idea, in light of privacy. Under certain circumstances, data subjects, such as patient associations or employees (via the Works Council), must be involved in this process.

What is the DPIA not?

The DPIA isn’t some sort of ritual. Model DPIAs are often used. There’s nothing wrong with them if they’re used correctly, namely as a tool for a thorough analysis. However, when the model is used as a form that simply has to be filled out, things go wrong. The DPIA isn’t intended to ensure that something is permitted, but to answer the question of whether something is permitted. Moreover, the DPIA isn’t a marketing tool. It’s intended for internal consideration, not to externally demonstrate the enormous importance one attaches to the GDPR. Furthermore, it’s unwise to conduct DPIAs before answering the question of whether one is actually a controller. A processor is someone who processes personal data on behalf of someone else; the controller. The processor may not make themselves a controller. By conducting DPIAs on data for which one is not a controller, one runs the risk of becoming one.

When is it required?

The DPIA must be carried out “when a type of processing, in particular using new technologies, is likely to result in a high risk to the rights and freedoms of natural persons, taking into account the nature, scope, context and purposes of the processing.” DPIAs are required in particular for:

A systematic and extensive assessment of personal aspects based on automated processing, including profiling, on which decisions are based that produce legal effects or significantly affect certain individuals in a similar manner;
2. Large-scale processing of special categories of personal data or criminal record data;
3. Systematic and large-scale monitoring of publicly accessible spaces;
4. Everything that has been placed on the DPIA list by the Data Protection Authority.

Note that processing special personal data does not always require a DPIA. This is only the case if processing is on a large scale. What is typically done by individual healthcare providers is not covered.

When is it not required?

A DPIA is required for processing operations that are “likely to pose a high risk,” but if it is clear that there are no risks, it is not necessary. Moreover, it is not necessary to conduct a DPIA every time for similar processing operations; if an academic hospital regularly conducts medical research with its own health data in its own secure processing environment, a DPIA does not need to be conducted every time. The data set may be different, but the processing operations are similar. A DPIA is also not required if there is a legal obligation or a statutory task, provided that an impact assessment was already conducted when that law was drafted (unless, of course, that law subsequently requires a DPIA).

Role of the Data Protection Officer

Contrary to popular belief, the DPIA is not carried out by the Data Protection Officer (DPO). However, the controller must consult the DPO (if they have one). If there is indeed an obligation to conduct a DPIA, appointing a DPO will usually also be mandatory. The DPO themselves do not know exactly what the controller has in mind regarding high-risk processing. This must therefore be explained to the DPO, outlining the plan and its rationale, the perceived risks, and the security measures envisioned. The DPO then advises whether the planned measures appear sufficient and whether they appear to comply with the GDPR. However, the DPO does not perform the analysis themselves, nor does it decide whether a plan can proceed. And the DPO certainly does not have the role of simply handing out green checks.

The Dutch Bodily Material Act must be rewritten

The EHDS is about data, not bodily material. The Dutch draft Bodily Material Act is about material, not data. This might lead one to believe there's no overlap. But if you extract data from material, you're doing something with both data and material. That's why I'm discussing my thoughts on the draft act here. Spoiler alert: it's not good.

The Health Data Access Body

The Ministry of Health, Welfare and Sport will soon determine who will become the HDAB; who will be the source of permits for the beneficial reuse of health data. Who can be this, and who cannot? And what will this HDAB be responsible for?

The EHDS and the Secure Processing Environment

Under the EHDS, work must be performed in a Secure Processing Environment (SPE). Scientists don't receive data, but access it in a SPE that meets the strict technical and security standards established under the EHDS. What does this entail? And will everyone be required to work in such a SPE from now on? Will it become a supercomputer containing all our health data?

Wat is een DPIA, wat is het niet?

Posted on 14 mei 20259 augustus 2025 by Antoinette

Wat is een DPIA, wat niet?

Een DPIA is een Data Protection Impact Assessment, oftewel een gegevensbeschermingseffectbeoordeling. Deze is op grond van de AVG in bepaalde gevallen verplicht. Wat is dit en wat is het niet? Wanneer is deze verplicht? En wat is de rol van de functionaris gegevensbescherming?

Wat is de DPIA wel?

De DPIA is het verslag van een grondige denk-sessie. Men heeft het plan opgevat om iets te gaan doen met persoonsgegevens, maar dat kan risicovol zijn ten aanzien van de privacy. In de DPIA wordt daarom stap voor stap uiteengezet welke verwerkingen men exact van plan is en met welk doel; wat de risico’s zijn; of deze risico’s afdoende kunnen worden afgedekt; of het geheel conform de AVG is; of de eventuele niet af te dekken rest-risico’s in verhouding staan tot het doel; en of de plannen op grond van dit alles uitgevoerd mogen worden of toch maar niet. Het is met andere woorden een uitgebreide, stapsgewijze analyse of bepaalde plannen nu wel zo’n goed idee zijn, in het licht van de privacy. Onder omstandigheden moeten de betrokkenen hierin meegenomen worden, zoals patiëntenverenigingen of werknemers (via de OR).

Wat is de DPIA niet?

De DPIA is geen ritueeltje. Veelal wordt gebruik gemaakt van model DPIA’s. Daar is niets mis mee als ze op de juiste manier worden gebruikt, namelijk als hulpmiddel om een grondige analyse uit te voeren. Wanneer het model echter gebruikt wordt als een formulier dat nu eenmaal ingevuld moet worden, dan gaat het mis. De DPIA is niet bedoeld om te bereiken dat iets gedaan mag worden, maar om een antwoord te vinden op de vraag of iets gedaan mag worden. De DPIA is bovendien geen marketingtool. Hij is bedoeld voor interne overweging en niet om extern te laten zien hoe geweldig veel belang men hecht aan de AVG. Ook is het niet verstandig om DPIA’s uit te voeren voordat de vraag is beantwoord of men eigenlijk wel verwerkingsverantwoordelijke is. Een verwerker is iemand die persoonsgegevens verwerkt in opdracht van iemand anders; de controller. De verwerker mag zichzelf niet tot controller maken. Door DPIA’s uit te voeren ten aanzien van gegevens waar men geen controller van is, loopt men het risico dat wel te doen.

Wanneer moet het?

De DPIA moet worden uitgevoerd “wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen.” DPIA’s zijn met name vereist bij:

Een systematische en uitgebreide beoordeling van persoonlijke aspecten, gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor rechtsgevolgen zijn verbonden of die bepaalde personen op vergelijkbare wijze wezenlijk treffen;
Grootschalige verwerking van bijzondere persoonsgegevens of strafrechtelijke gegevens;
Stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.
Alles wat door de Autoriteit Persoonsgegevens op de DPIA lijst is geplaatst.

Nota bene, verwerking van bijzondere persoonsgegevens vereist dus niet altijd een DPIA. Dat is alleen het geval als er sprake is van grootschalige verwerking. Wat er gebruikelijk gedaan wordt bij individuele zorgverleners valt hier niet onder.

Wanneer hoeft het niet?

Een DPIA moet bij verwerkingen die ‘waarschijnlijk een hoog risico’ inhouden, maar is het duidelijk dat er geen risico’s zijn, dan hoeft het dus niet. Het hoeft bovendien niet telkens opnieuw voor soortgelijke verwerkingen; doet men als academisch ziekenhuis regelmatig medisch wetenschappelijk onderzoek met eigen gezondheidsgegevens in de eigen beveiligde verwerkingsomgeving, dan hoeft er niet telkens opnieuw een DPIA te worden uitgevoerd. De set data is wellicht anders, maar de verwerkingen zijn soortgelijk. Een DPIA hoeft ook niet als sprake is van een wettelijk verplicht of een wettelijke taak, mits bij het opstellen van die wet al een effectbeoordeling heeft plaatsgevonden (tenzij die wet alsnog een DPIA voorschrijft natuurlijk).

Rol van de functionaris gegevensbescherming

Anders dan veelal wordt gedacht, wordt de DPIA niet uitgevoerd door de functionaris gegevensbescherming (FG). Wel moet de verwerkingsverantwoordelijke bij de FG (als hij die heeft) advies inwinnen. Als er overigens daadwerkelijk een plicht bestaat tot het doen van een DPIA, dan zal het meestal ook verplicht zijn om een FG aan te stellen. De FG weet zelf niet wat de verwerkingsverantwoordelijke precies in gedachten heeft, aan risicovolle verwerkingen. Dit moet dus aan de FG worden uitgelegd, waarbij uiteen wordt gezet wat het plan is en waarom, welke risico’s men ziet, welke beveiliging men in gedachten heeft. De FG adviseert dan of die geplande maatregelen afdoende lijken, of het conform de AVG lijkt te zijn. Maar de FG verricht de analyse zelf niet, en neemt ook niet het besluit of een plan door mag gaan. En de FG heeft zeker niet de rol om zomaar groene vinkjes uit te delen.

GDPR, purpose limitation, science and corona

Posted on 14 mei 202521 november 2025 by admin

GDPR, Purpose Limitation, Science and Corona

Medical scientists trying to gather data for (undeniably useful) research are sometimes faced with rejection due to “purpose limitation.” For example, someone had collected data for research into unexplained excess mortality after COVID-19. When she subsequently wanted to use that same data for research on Long-Covid, it was denied. Purpose limitation! But is that correct?

The principle of purpose limitation can be found in the GDPR. It states that (1) personal data may only be collected for specified and legitimate purposes, and (2) it may not subsequently be used in a way “incompatible with those purposes.” The latter is the principle of purpose limitation, and it logically follows from the first. Prescribing that you may only collect data for specific, legitimate purposes is pointless if you can then do something completely different with it. Whether there are valid “purposes” must be assessed against the GDPR article that sets out the “grounds.” This is often taken for granted, while it simply boils down to the question: do you have a legitimate and good purpose for doing what you’re doing?

The GDPR article on lawful purposes or conditions, also explains when you’re allowed to do something slightly different with that data; if there’s a compatible purpose. For example, Netflix primarily collected customers’ personal data to provide paid streaming services. However, the company is also allowed to use that data to take action against subscription abuse. These are sufficiently connected, and customers can reasonably expect such a thing to happen. That’s therefore “compatible” use of personal data. If that’s not the case, if it’s not sufficiently connected, then there are three possibilities: a law prescribes that it’s allowed anyway, you have permission, or you simply have to collect new data.

The latter is, of course, a problem for scientists. Because if data has been collected to provide care to someone with complaints, that’s quite different from using that data to investigate whether AI can help identify someone’s condition sooner. The connection becomes even more remote if you’ve collected data to track down cybercriminals, and then criminologists want to study that data to investigate why someone becomes a cybercriminal in the first place. Can such a thing be prevented? Then the use is truly no longer related to the previous purpose, nor is it use that the data subjects could reasonably expect. Asking those cybercriminals for consent is a rather hopeless mission, but so is generating new data. Therefore, a law is needed that stipulates that such a thing is permitted.

The good thing is that they’ve already addressed this in the GDPR itself. The article on purpose limitation immediately states: further processing for archiving purposes in the public interest, scientific or historical research purposes, or statistical purposes is not considered incompatible with the original purposes. In simpler terms: the principle of purpose limitation simply doesn’t apply to science and statistics.

Of course, this doesn’t mean that everything is suddenly permitted under the guise of science, statistics, or archiving. Although there is a general exception to the principle of purpose limitation for scientific purposes, specific research can still be prohibited. After all, you must also meet other requirements of the GDPR, such as taking sufficient technical and organizational measures to secure everything; for example, anonymization or pseudonymization, or working in a highly secure processing environment that you can only access with a crowbar (as criminologists have devised).

If the data you’re working with is special personal data (which is what health data is), you also need an exception to the prohibition on using it. This prohibition is essentially medical confidentiality. It’s not in healthcare law, but in the GDPR. It doesn’t apply to people with a specific profession, but to everyone, with regard to certain types of data. Very useful. One such exception to medical confidentiality is: you may use health data for medical research if you’ve asked for consent, unless that’s unreasonable. When it comes to big data research, that’s unreasonable, and consent isn’t required.

All this means: if you’re conducting big data research on, for example, excess mortality and long-term COVID, if the government funds it because it’s well-designed and genuinely useful, and if the requirements are met because you’re working in a highly secure processing environment, then the principle of purpose limitation doesn’t apply. In that respect, you don’t need consent. You might still need consent to breach (universal) medical confidentiality, but that’s a different matter. And in that case, consent isn’t required if the data involves a large amount of data. Incidentally, the rules regarding consent will change under the EHDS. However, the GDPR will remain in effect, and the rule that there’s a general exception to the principle of purpose limitation for the purposes of science and statistics remains unchanged.

The Dutch Bodily Material Act must be rewritten

The Health Data Access Body

The EHDS and the Secure Processing Environment

AVG, doelbinding, wetenschap en corona

Posted on 14 mei 202521 november 2025 by Antoinette

AVG, Doelbinding, Wetenschap en Corona

Medisch wetenschappers die data bijeen proberen te krijgen voor (onbetwist nuttig) onderzoek, worden nog weleens geconfronteerd met een weigering vanwege “doelbinding.” Zo was er iemand die data had verzameld voor onderzoek naar onverklaarbare oversterfte na Corona. Toen ze vervolgens diezelfde data wilde gebruiken voor onderzoek naar Long-Covid, werd dat niet toegestaan. Doelbinding! Maar klopt dat wel?

Het beginsel van doelbinding is te vinden in de AVG. Daar staat dat (1) persoonsgegevens alleen voor specifieke en rechtmatige doeleinden mogen worden verzameld, en (2) vervolgens niet op een “met die doeleinden onverenigbare wijze” mogen worden gebruikt. Dat tweede is het beginsel van doelbinding en het volgt logischerwijs uit het eerste. Voorschrijven dat je alleen voor specifieke rechtmatige doeleinden data mag verzamelen heeft geen zin, als je er vervolgens totaal iets anders mee mag gaan doen. Of er sprake is van goede “doeleinden” moet getoetst worden aan het artikel van de AVG waarin de “grondslagen” staan. Daar wordt regelmatig nogal moeilijk over gedaan, terwijl het dus gewoon neerkomt op de vraag: heb je een rechtmatig en goed doel om te doen wat je doet.

In dat wetsartikel over die grondslagen, staat ook uitgelegd wanneer je net iets anders met die gegevens mag gaan doen; als er een verenigbaar doel is. Netflix heeft bijvoorbeeld de NAW-gegevens van klanten primair verzameld om tegen betaling streaming te leveren. Toch mag het bedrijf die gegevens ook gebruiken om op te treden als er misbruik wordt gemaakt van de abonnementen. Dat hangt voldoende samen met elkaar en klanten kunnen ook redelijkerwijs verwachten dat zoiets gebeurt. Dat is dus “verenigbaar” gebruik van persoonsgegevens. Als daar geen sprake van is, als het onvoldoende samenhangt, dan zijn er drie mogelijkheden: een wet schrijft voor dat het toch mag, je hebt toestemming, of je moet gewoon nieuwe data verzamelen.

Dat laatste is natuurlijk een probleem voor wetenschappers. Want als data verzameld zijn om zorg te leveren aan iemand met klachten, dan is dat toch echt iets anders dan het gebruik van die data om te onderzoeken of je met behulp van AI eerder kunt achterhalen wat iemand heeft. Nog verder verwijderd wordt het verband, als je data verzameld hebt om cybercriminelen op te sporen, en vervolgens willen criminologen die data bestuderen om te onderzoeken waarom iemand eigenlijk cybercrimineel wordt. Valt zoiets te voorkomen? Dan is echt geen sprake meer van gebruik dat verband houdt met het eerdere doel, en het is ook geen gebruik dat de betrokkenen redelijkerwijs kunnen verwachten. Toestemming vragen aan die cybercriminelen, is een behoorlijk kansloze missie, maar nieuwe data genereren ook. En dus is er een wet nodig, die bepaalt dat zoiets is toegestaan.

Nu is het mooie dat ze dit in de AVG zelf al hebben opgelost. In het artikel over doelbinding staat direct erachter: de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd. In eenvoudiger bewoordingen: bij wetenschap en statistiek geldt het beginsel van doelbinding gewoon niet.

Dat betekent natuurlijk niet dat álles ineens is toestaan onder het mom van wetenschap, statistiek of archivering. Hoewel er een algemene uitzondering is op het doelbindingsbeginsel ten behoeve van wetenschap, kan een specifiek onderzoek alsnog verboden zijn. Je moet immers ook voldoen aan andere vereisten uit de AVG, zoals dat je voldoende technische en organisatorische maatregelen neemt om de boel te beveiligen; anonimiseren bijvoorbeeld, of pseudonimiseren, of werken in een super-beveiligde verwerkingsomgeving waar je eigenlijk uitsluitend met een koevoet in komt (zoals de criminologen hebben bedacht).

Als de gegevens waar je mee werkt bijzondere persoonsgegevens zijn (wat gezondheidsgegevens dus zijn,) dan moet je bovendien een uitzondering hebben op het verbod die te gebruiken. Dit verbod is eigenlijk gewoon het medisch geheim. Het staat alleen niet in het gezondheidsrecht, maar in de AVG. Het geldt niet voor mensen met een bepaald beroep, maar gewoon voor iedereen, ten aanzien van bepaalde soorten data. Heel handig. Een dergelijke uitzondering op het medisch geheim is: je mag gezondheidsgegevens gebruiken voor medisch wetenschappelijk onderzoek als je om toestemming hebt gevraagd, tenzij dat onredelijk is. Als het gaat om big data onderzoek, dan is dat onredelijk en is toestemming niet vereist.

Dat alles bij elkaar betekent dus: als je big data onderzoek doet naar bijvoorbeeld oversterfte en long-Covid, als de overheid dit financiert omdat het degelijk in elkaar steekt en echt nuttig is, als aan de vereisten is voldaan omdat gewerkt wordt in een zeer goed beveiligde verwerkingsomgeving, dan geldt het beginsel van doelbinding niet. Wat dat betreft heb je dus geen toestemming nodig. Misschien heb je wel nog toestemming nodig om het (universele) medisch geheim te doorbreken, maar dat is een andere kwestie. En daarvoor geldt: die toestemming is niet nodig, als het om zeer veel data gaat. Overigens worden die regels ten aanzien van toestemming anders onder de EHDS. Maar de AVG blijft daarnaast gewoon gelden, en er verandert dus niets aan de regel dat er een algemene uitzondering is op het beginsel van doelbinding ten behoeve van wetenschap en statistiek.

The Dutch Bodily Material Act must be rewritten

De Wet Zeggenschap Lichaamsmateriaal moet herschreven worden

De EHDS gaat over data en dus niet over lichaamsmateriaal. De concept-Wet Zeggenschap Lichaamsmateriaal gaat over materiaal en dus niet over data. Daarmee zou men dus kunnen denken dat er geen overlap is. Maar als je data uit materiaal haalt, dan doe je en iets met data, en ook iets met materiaal. Daarom bespreek ik hier wat ik vind van de concept-WZL. Spoiler alert: het is echt bagger.

Maand: mei 2025