DPIA, т.е. оценка на въздействието върху защитата на данните, е анализ на риска, който провеждате предварително, когато обработката на лични данни е вероятно да представлява висок риск за хората, чиито данни се обработват. GDPR не налага този анализ при всяка обработка, а специално при обработки, които поради своята природа, обхват, контекст или цел могат да имат голямо влияние — например при мащабно наблюдение, систематично профилиране или обработка на специални категории данни, като здравни данни, в голям обхват.
Дали вашето предприятие трябва да провежда DPIA, зависи от това точно какво правите с данните, а не от размера на вашето предприятие. Самостоятелен работник, който монтира камери в малък магазин, обикновено не попада под това задължение; малко или средно предприятие, което използва AI софтуер, за да анализира на голям обхват поведението на клиентите или скрининга на кандидатите, по-бързо попада под DPIA задължението. Органът по защита на данните публикува списък на обработките, за които според него този анализ винаги е необходим; този списък е добра отправна точка, за да определите дали вашата ситуация се включва.
Кога това е релевантно за малките и средни предприятия
Повечето малки и средни предприятия избягват формална DPIA, просто защото техните обработки нямат мащаба или нивото на риск, което GDPR има предвид. Въпреки това, има ситуации, в които въпросът внезапно става релевантен: внедряване на видеонаблюдение с разпознаване на лице, използване на нов AI инструмент, който автоматично взима решения относно клиентите или служителите, или разширение на съществуващ софтуер, чрез който внезапно събирате данни в много по-голям обхват, отколкото досега.
Така че не толкова сектора определя дали DPIA е необходимо, колкото промяната в това, което правите. Отдел "Човешки ресурси", който преминава към инструмент за наемане с автоматичен скрининг на CV, е добре да се запита дали този преход попада под критериите. Същото се отнася за офис мениджър, който разглежда внедряването на нов SaaS инструмент, който следи поведението на посетителите на уебсайта и го комбинира с други източници на данни.
Какво трябва да съдържа DPIA
DPIA описва системно какво се случва: какви данни се обработват, с каква цел, на основата на какво правно основание и кой има достъп до данните. След това анализът определя рисковете за физическите лица — какво може да се обърка и колко голяма е вероятността и въздействието. Последната част е мерката: какви технически или организационни стъпки се предприемат, за да се намалят тези рискове, и остава ли след тези мерки все още риск, който не може да бъде отстранен.
Този последен момент е важен: ако DPIA покаже, че дори след мерките остава висок риск, GDPR налага вие да го представите на органа по надзор преди да започнете обработката. Това е изключение, а не стандартна стъпка, но това е причината, поради която DPIA не е нещо, което попълвате задно число.
Връзката с регистъра на обработките
DPIA не стои отделно от останалата ви GDPR документация. Обработката, за която провеждате анализа, трябва също да намери място в знаниевата база, където рисковете за всяка обработка са разработени, така че да остане ясно кои обработки имат нужда от допълнително внимание и кои не. Който вече има подредени регистъра на обработките, често вижда сам кои обработки по отношение на мащаба или чувствителността лежат по-близо до DPIA прага, отколкото други.
Това е също добър момент да проверите отново договорите за обработка на данни, които са свързани с тази обработка: външни страни, които обработват данните, за които разглеждате DPIA, често са и страната, при която възникват най-големите рискове, ако нещо се обърка. Точно както при възможна нарушение на данни, е полезно да знаете предварително в какво положение сте вместо да трябва да намирате впоследствие какво точно е договорено.
Ако се колебаете
Границата между "вероятно DPIA не е необходима" и "по-добре първо да анализирате" не винаги е остра, а GDPR умишлено оставя място за собствена преценка. При съмнение е препоръчително да консултирате насоките на Органа за защита на данните или да потърсите юрист, който да разгледа вашата конкретна ситуация. Тази страница описва общата линия от регламента; тя не замества това съветване.
Искате ли първо да получите впечатление как вашите собствени обработки съответстват на преценката на риска, която използва GDPR? Направете безплатното бързо сканиране или разгледайте често задаваните въпроси относно регистъра и надзора над него за да видите кой етап е най-подходящ за вашата компания.