Wanneer is een DPIA (gegevensbeschermingseffectbeoordeling) verplicht?

Als een soort verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van personen, vooral bij gebruik van nieuwe technologie, moet de gemeente vooraf een DPIA uitvoeren. Die bevat ten minste een beschrijving van de verwerking, een beoordeling van de risico's, de maatregelen om die te beperken en de beveiligingsmaatregelen. Verandert het risico, dan toetst de gemeente of de verwerking nog volgens de DPIA verloopt. Blijft er na de maatregelen een hoog risico over, dan moet de Autoriteit Persoonsgegevens vooraf worden geraadpleegd. Voor boa-werkgevers denk aan de invoering van een nieuw registratiesysteem of het stelselmatig in kaart brengen van jongeren. Een bodycam wordt bij boa's meestal ingezet als veiligheidsmaatregel voor de medewerker (Arbowet); de beelden vallen dan onder de AVG. Worden beelden gebruikt voor de opsporing van een strafbaar feit, dan zijn het vanaf dat moment politiegegevens onder de Wpg (zie ‘Mag ik als toezichthouder foto's of video-opnames maken, bijvoorbeeld met een bodycam’ en ‘Wanneer worden mijn aantekeningen politiegegevens’).