Nadat het CBP de melding heeft ontvangen en er is sprake van één of meer van de drie risicovolle verwerkingen, wordt het voorafgaand onderzoek gestart. Het voorafgaand onderzoek bestaat uit twee fases: de eerste fase is het voorbereidend onderzoek, de (eventuele) tweede fase is het nader onderzoek.
Het voorbereidend onderzoek duurt maximaal vier weken. Tijdens deze periode vormt het CBP zich een algemeen oordeel over de voorgenomen gegevensverwerking en beoordeelt het CBP of een nader onderzoek moet worden ingesteld. Na afloop van het voorbereidend onderzoek ontvangt u van het CBP een besluit, waarin wordt aangegeven of het CBP een nader onderzoek instelt of niet.
Als het besluit inhoudt dat een nader onderzoek zal plaatsvinden, gaat de tweede fase in. Deze beslaat maximaal 20 weken. Gedurende deze periode beoordeelt het CBP of de voorgenomen verwerking rechtmatig is. Het CBP let daarbij in het bijzonder op de risicovolle aspecten van de voorgenomen verwerking van persoonsgegevens en beoordeelt of ter compensatie van deze risico’s voldoende waarborgen zijn getroffen. Indien het CBP vragen en/of opmerkingen heeft over de door u voorgenomen gegevensverwerking, zult u eenmaal in de gelegenheid worden gesteld deze schriftelijk te beantwoorden en/of de voorgenomen werkwijze aan te passen. Vervolgens zal het CBP een positieve of negatieve rechtmatigheidsverklaring afgeven.
Op het voorafgaand onderzoek is de uniforme openbare voorbereidingsprocedure van afdeling 3.4 van de Algemene wet bestuursrecht van toepassing. Dit betekent dat het CBP eerst een ontwerpbesluit neemt. De zakelijke inhoud van het ontwerpbesluit wordt door het CBP in de Staatscourant gepubliceerd en het ontwerpbesluit en de bijbehorende stukken worden gedurende zes weken ter inzage gelegd bij het CBP. Tijdens deze zes weken kunnen belanghebbenden (dit geldt ook voor u als de verantwoordelijke ) een zienswijze op het ontwerpbesluit bij het CBP indienen. Na afloop van deze zes weken neemt het CBP - met inachtneming van eventuele zienswijzen - een definitief besluit: de verklaring omtrent de rechtmatigheid. Ook voor het definitieve besluit geldt dat de zakelijke inhoud in de Staatscourant wordt gepubliceerd en dat het definitieve besluit en de bijbehorende stukken gedurende zes weken bij het CBP ter inzage worden gelegd.