Когато съм длъжен да проведа оценка на въздействието върху защитата на данни?

Оценката за въздействието върху защитата на данните е задължителна при обработка с висок риск

Оценката за въздействието върху защитата на данните — или оценка на въздействието върху защитата на данните — е задължителна когато обработката на данни вероятно създава висок риск за правата и свободите на лицата, чиито данни се обработват. Това не е фиксиран списък с дейности, които везде точно еднакви, а преценка, която започва с естеството, обхвата, контекста и целта на обработката. Обширна обработка на чувствителни данни, структурно и систематично наблюдение на лица в публично достъпно място, и обработки, които водят до автоматизирани решения със значителни последствия, са примери, които често се споменават като ситуации, в които е вероятен висок риск.

За обикновен самостоятелен предприемач или МСП, които водят клиентски данни, персонални данни или счетоводна система, задължителната оценка за въздействието върху защитата на данните обикновено не е налична — тези обработки обикновено не са достатъчно обширни или систематични, за да се считат за висок риск. Когато се работи например със здравни данни в по-широк мащаб, видеонаблюдение на публични пространства, или профилиране, което има последствия за физическите лица, картината се променя. Всеки, който е несигурен дали обработката попада в тази категория, може най-добре да подкрепи тази преценка от същия преглед, който се изграждане и за регистъра на дейностите по обработка на данни се построява: за всяка обработка вече е определена целта, обхватът и съответните данни, и това е точно информацията, която преценката на риска трябва.

Основата на това: член 6 на РЕГЛАМЕНТА и надзорния орган

Задължението да се извърши оценка за въздействието върху защитата на данните произтича от РЕГЛАМЕНТА и е свързано с законното основание на член 6 на РЕГЛАМЕНТА: само ако вече е установено законното основание за обработката, следващия въпрос е дали тази обработка също носи висок риск. Надзорните органи дават допълнително пояснение за това кои обработки в практиката се смятат за висок риск; в Нидерландия Управление по защита на данните прави това със собствени списъци и обяснения, докато надзорния орган в друга държава-членка може да прилага малко по-различен списък — това, което остава еднакво везде, е нормата от самия регламент, това, което се различава, е националното изпълнение на това кои обработки попадат под него. Всеки, който е несигурен дали предприятието му поради обхвата на обработката трябва отделен служител за защита на данните, ще намери отправна точка в обяснението на задължението да се назначи служител за защита на данните, защото тези два въпроса — оценката за въздействието върху защитата на данните и служителят за защита на данните — често са свързани със същия мащаб и преценка на риска на обработката.