De plannen van de Digital Omnibus voor DPIA-standaardisatie

Artikel 35 van de AVG bepaalt dat verwerkingsverantwoordelijken een DPIA moeten uitvoeren wanneer een verwerking waarschijnlijk een hoog risico oplevert, maar laat de invulling daarvan vrijwel volledig aan de verwerkingsverantwoordelijke over. Het resultaat is een lappendeken: nationale lijsten van verwerkingen met een “waarschijnlijk hoog risico” die per lidstaat verschillen, uiteenlopende richtsnoeren en modellen van toezichthouders, en geen gedeelde methodiek om risico’s te wegen. Voor organisaties die in meer dan één lidstaat verwerken, is die versnippering altijd een van de minder zichtbare kosten van zakendoen in de EU geweest. 

Het Digital Omnibus-pakket, dat de Commissie op 19 november 2025 heeft gepubliceerd, wil dat gat dichten. Ondertussen heeft de EDPB al stappen gezet, met de publicatie van een geharmoniseerd DPIA-model maanden voordat enige wettelijke verplichting daartoe bestaat. Beide sporen zijn nu al de moeite waard om te volgen, omdat organisaties hun DPIA-methodiek en -modellen kunnen afstemmen ruim voordat het wetgevingsproces is afgerond. 

Wat de Omnibus voorstelt 

Het voorstel van de Commissie wijzigt artikel 35, vierde tot en met zesde lid, AVG op drie onderdelen: 

• Één EU-brede lijst van verwerkingen met een hoog risico. In plaats van dat elke lidstaat zelf invult wanneer een DPIA vereist is, zou de EDPB één lijst opstellen die in de hele EU geldt. 

• Een bijbehorende lijst van verwerkingen die buiten de verplichting valt. Toezichthouders mogen zo’n lijst nu al publiceren. De Nederlandse AP is een van de toezichthouders die deze zomer een conceptlijst van negen categorieën ter consultatie heeft voorgelegd. Zulke lijsten blijven nationaal van aard en bieden dus alleen zekerheid binnen het rechtsgebied van de toezichthouder die ze heeft vastgesteld. Onder het voorstel zou één EU-brede lijst verwerkingsverantwoordelijken in staat stellen om op basis van één richtsnoer vast te leggen waarom een beoordeling niet vereist was, in plaats van per rechtsgebied. 

• Een gemeenschappelijk model en een gemeenschappelijke methodiek. De EDPB zou daarnaast een gestandaardiseerd DPIA-model en een bijbehorende methodiek ontwikkelen, opnieuw onder voorbehoud van vaststelling door de Commissie via een uitvoeringshandeling. 

• Periodieke herziening. Zowel de lijsten als het model en de methodiek zouden ten minste elke drie jaar worden herzien, om gelijke tred te houden met technologische ontwikkelingen. 

Het doel is de compliance lasten te verlagen van DPIA’s die in meerdere rechtsgebieden worden uitgevoerd en de onduidelijkheid te verkleinen over wanneer een DPIA vereist is, niet om de onderliggende verplichting zelf te wijzigen. Dat is een van de redenen waarom de DPIA-bepalingen worden gezien als een van de minder omstreden onderdelen van het Omnibus-pakket. De tekst doorloopt de gewone wetgevingsprocedure en kan vóór vaststelling nog wezenlijk veranderen. 

De DPIA-modellen van de EDPB 

De EDPB heeft op 10 maart 2026 een eerste gestandaardiseerd DPIA-model vastgesteld, dit op 14 april 2026 samen met een toelichtend document gepubliceerd en opengesteld voor publieke consultatie, die op 9 juni 2026 is gesloten. De bijbehorende toelichting geeft praktische handvatten voor het invullen van het model, verduidelijkt kernbegrippen en bevat een bruikbare bijlage met een overzicht van DPIA-richtsnoeren van toezichthouders in de EER. Op het moment van schrijven is de definitieve versie nog niet gepubliceerd. 

Een aantal kenmerken van het concept is hoe dan ook goed om te kennen, ongeacht de uitkomst van het wetgevingsproces: 

• Inherent risico versus risico door incidenten: paragraaf 3.1 van het model gaat over risico’s die bestaan ook wanneer de verwerking precies werkt zoals bedoeld en iedereen zich aan de regels houdt. Paragraaf 4.1.1 gaat afzonderlijk over risico’s die voortkomen uit afwijkende, onopzettelijke, onrechtmatige of abnormale gebeurtenissen. Het model behandelt deze als twee onderscheiden risicocategorieën, die apart worden beoordeeld en vastgelegd. 

• Voorlopig vrijwillig, maar niet voor onbepaalde tijd. Gebruik van het EDPB-model is op dit moment niet verplicht. Maar de EDPB is er duidelijk over dat nationale toezichthouders het model na afronding zullen overnemen, hetzij als hun enige standaard, hetzij als “meta-model” waarop nationale modellen moeten aansluiten. Als de Omnibus-bepalingen ongeveer zo worden aangenomen als voorgesteld, kan die afstemming een wettelijke verplichting worden in plaats van een toezichtpraktijk. 

Waarom dit nu al van belang is 

De Omnibus-tekst kan tijdens de onderhandelingen nog veranderen. Maar het EDPB-model bestaat al en bepaalt nu al mede hoe toezichthouders naar DPIA’s kijken. Organisaties doen er daarom goed aan beide ontwikkelingen naast elkaar te volgen, in plaats van alleen het wetgevingsspoor als relevant te beschouwen voor hun compliance-planning. 

Kortom: 

• Consistentie over rechtsgebieden heen is een van de doelen van dit deel van het voorstel. Gaan DPIA’s nu nog gepaard met controles per land op triggerlijsten en lokale richtsnoeren, dan is dit de richting waarin het gaat: EU-brede lijsten en één meta-model. 

• Verwachtingen van toezichthouders bewegen doorgaans sneller dan wetgeving. Ook zonder wettelijke verplichting wordt een door de EDPB onderschreven model een referentiepunt waaraan toezichthouders DPIA’s informeel zullen afmeten bij een onderzoek of een voorafgaande raadpleging op grond van artikel 36 AVG. 

Hier kun je nu al mee beginnen 

• Leg de onderdelen van je huidige DPIA-model naast de velden van het EDPB-model en pas je model waar nodig aan, met bijzondere aandacht voor het onderscheid tussen ontwerprisico’s en incidentrisico’s. 

• Volg de afronding van het model en de tekst uit de triloog afzonderlijk. Het definitief worden van het EDPB-model en de voortgang van de Omnibus in het Parlement en de Raad hebben verschillende tijdlijnen. 

De richting is duidelijk, ook al staat de eindbestemming nog niet volledig vast: de DPIA-methodiek in de EU beweegt richting convergentie, niet richting divergentie. Organisaties die nu al met het EDPB-model aan de slag gaan, in plaats van te wachten tot het verplicht wordt, hebben straks veel minder tijd nodig om zich aan te passen zodra afstemming formeel wordt vereist. 

Bij Considerati volgen we deze ontwikkelingen op de voet en delen we updates zodra die er zijn. Wil je bespreken wat DPIA-standaardisatie voor jouw organisatie betekent, dan gaan we daarover graag met je in gesprek.