DPO’s moeten rekening houden met de aard, omvang, en context van de verwerkingsdoeleinden.
Betekent dit dat een DPO zich dan kan inlaten met om het even wat, bijvoorbeeld zich kan bezig houden met quick wins?
Te onthouden
- DPO’s houden zich best niet bezig met quick wins die een geringe impact hebben op de risico’s die personen wiens persoonsgegevens worden verwerkt zullen ondervinden;
- DPO’s hebben als taak en de plicht om de verwerkingsverantwoordelijke te wijzen op het belang om zich vooreerst te focussen op die vewerkingen met de grootste risico’s voor de mensen wiens persoonsgegevens worden verwerkt;
- Verwerkingsverantwoordelijken hebben best een gedocumenteerde procedure om te bepalen waarop zij zich baseren om een rangorde toe te kennen aan de risico’s van bepaalde verwerkingen.
Het afwegen van risico’s
Art.39.2 GDPR bepaalt dat de DPO bij de uitvoering van zijn/haar opdracht rekening houdt met het aan de verwerkingen verbonden risico’s, de aard, de omvang en de context van de verwerkingsdoeleinden.
Dit betekent dat de DPO die geconfronteerd wordt met verschillende projecten zijn/haar aandacht het meest spendeert aan die verwerkingen die het grootste risico vormen voor de mensen wiens persoonsgegevens er worden verwerkt.
Dit betekent weliswaar niet dat de DPO helemaal geen aandacht moet schenken aan verwerkingen die geringere risico’s geven, maar wel dat deze verwerkingen met een geringer risico een lagere rangorde zullen hebben voor de activiteiten van de DPO.
Hoe kan de DPO nu bepalen welke verwerkingen en activiteiten primair zijn/haar aandacht verdienen?
Primaire focus
De primaire focus van de DPO zal worden bepaald door 4 criteria:
- het soort persoonsgegevens er wordt verwerkt;
- de omvang van die gegevens;
- via welke mechanismen die persoonsgegevens worden verwerkt; en
- waarom die persoonsgegevens worden vewerkt.
Soort te verwerken persoonsgegevens
Het soort persoonsgegevens bepaalt de impact en het risico dat de verwerking zal hebben op de mensen wiens persoonsgegevens worden verwerkt.
Hierbij kan men denken aan bijvoorbeeld gezondheidsgegevens, of gegevens inzake geloof.
De verwerking van dergelijke persoonsgegevens kunnen een enorme impact hebben op de personen aan wie ze toebehoren.
Omvang van de verwerkte persoonsgegevens
De hoeveelheid aan gegevens die verwerkt worden bepaalt mede het risico en de impact als er iets met deze persoonsgegevens gebeurt, zoals een datalek.
DIe omvang wordt steeds bepaalt rekening houdende met de totale omvang van personen die aan de verwerking onderworpen kunnen worden.
Bijvoorbeeld de persoonsgegevens verwerkt door één sportclub versus de persoonsgegevens die worden verwerkt door de sportfederatie waartoe die ene sportclub lid van is.
Wijze van verwerking van persoonsgegevens
Een verwerking die gebeurt op basis van de individuele toestemming van de persoon zelf, is iets heel anders dan een verwerking die wordt uitgevoerd via een geautomatiseerd procédé, of via een inductief/deductief algoritme waarbij er gevolgen zijn verbonden voor de persoon wiens persoonsgegevens ervoor worden gebruikt.
In de twee laatste gevallen zal de persoon wiens gegevens worden gebruikt geen controle hebben wat er precies met zijn/haar persoonsgegevens gebeurt of wat de (nadelige) uitkomst voor hem/haar zal zijn.
Doel van de verwerking
Bijvoorbeeld worden de verwerkte persoonsgegevens enkel maar gebruikt om maandelijks een nieuwsbrief te sturen, of worden zij gebruikt om van de personen een profiel aan te maken dat kan gebruikt worden voor bijvoorbeeld het al dan niet toekennen van een goedkopere premie.
In het tweede geval zal de persoons meer impact ondervinden dan in het eerste geval en kan de persoons wiens persoonsgegevens daarvoor worden gebruikt deze verwerking weigeren.
Bepalen van een rangorde
Aangezien de DPO een kapstok heeft om aan de alarmbel te trekken wanneer een verwerking van persoonsgegevens een hoog risico vormt voor de mensen wiens persoonsgegevens ervoor worden gebruikt, heeft de verwerkingsverantwoordelijke er alle belang bij een gedocumenteerde procedure te hebben om te bepalen wat en wanneer een verwerking een hoog risico vormt.
Op basis van deze gedocumenteerde procedure zal de verwerkingsverantwoordelijke kunnen aantonen dat er vooreerst aandacht wordt geschonken aan de meest belangrijke verwerkingen die de grootste risico’s en impact vormen voor de mensen wiens persoonsgegevens worden verwerkt, en niet aan (kleine) minder risicovolle verwerkingen.
De DPO heeft als plicht en de taak om de verwerkingsverantwoordelijke op dit verhoogde risico van zijn (voorgenomen) verwerking te wijzen, en ervoor te zorgen dat de verwerkingsverantwoordelijke zich niet bezig houdt met (relatief onbelangrijke) quick wins, terwijl de (voorgenomen) verwerkingen met hoog risico ongemoeid worden gelaten.
Het is de verwerkingsverantwoordelijke die zich bij een inspectie of een datalek zal moeten verantwoorden, en eventueel aansprakelijk zal worden gesteld, voor het niet au sérieux nemen van de risico’s en de impact op de mensen wiens persoonsgegevens hij verwerkt.
Een gedocumenteerde procedure kan de verwerkingsverantwoordelijke helpen om aan te tonen dat hij belang hecht aan de risico’s en de impact dat zijn (voorgenomen) verwerking van persoonsgegevens heeft op de mensen wiens persoonsgegevens hij gaat verwerken, en dat zijn keuze niet arbitrair is.
Bloep, 25 oktober 2026.
OPGELET: deze blog is geen juridisch advies. De verwerking van persoonsgegevens is vaak een case-by-case verhaal, en dient daarom ook op die basis te worden beoordeeld. Aarzel daarom niet om contact op te nemen om uw specifieke situatie te bespreken via ons Contact Formulier.