πότε υποχρεούμαι να διενεργήσω αξιολόγηση των επιπτώσεων στην προστασία δεδομένων

Μια DPIA είναι υποχρεωτική κατά την επεξεργασία υψηλού κινδύνου

Μια DPIA — μια αξιολόγηση των επιπτώσεων στην προστασία δεδομένων — είναι υποχρεωτική όταν μια επεξεργασία είναι πιθανό ότι συνεπάγεται υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των ατόμων των οποίων τα δεδομένα υφίστανται επεξεργασία. Δεν πρόκειται για σταθερό κατάλογο δραστηριοτήτων που είναι παντού ακριβώς το ίδιο, αλλά για εκτίμηση που ξεκινά από τη φύση, την έκταση, το πλαίσιο και τον σκοπό της επεξεργασίας. Η μεγάλης κλίμακας επεξεργασία ευαίσθητων δεδομένων, η δομημένη και συστηματική παρακολούθηση ατόμων σε δημόσια προσβάσιμο χώρο, και οι επεξεργασίες που οδηγούν σε αυτοματοποιημένες αποφάσεις με σημαντικές συνέπειες, είναι παραδείγματα που συχνά αναφέρονται ως καταστάσεις στις οποίες ένας υψηλός κίνδυνος είναι εύλογος.

Για ένα συνηθισμένο άτομο που εργάζεται για λογαριασμό του ή μικρή ή μεσαία επιχείρηση που διατηρεί δεδομένα πελατών, δεδομένα προσωπικού ή ένα σύστημα λογιστικής, μια υποχρεωτική DPIA συνήθως δεν αναμένεται — αυτές οι επεξεργασίες συνήθως δεν είναι αρκετά μεγάλης κλίμακας ή συστηματικές για να θεωρηθούν ως υψηλός κίνδυνος. Μόλις όμως γίνει επεξεργασία, για παράδειγμα, δεδομένων υγείας σε μεγαλύτερη κλίμακα, παρακολούθησης κάμερας σε δημόσιους χώρους, ή προφιλ που έχει συνέπειες για άτομα, αυτή η εικόνα αλλάζει. Όποιος αμφιβάλλει αν μια επεξεργασία εμπίπτει σε αυτή την κατηγορία, είναι καλύτερο να υποστηρίξει την εκτίμησή του από την ίδια επισκόπηση που κατασκευάζεται για το μητρώο των δραστηριοτήτων επεξεργασίας δεδομένων: για κάθε επεξεργασία έχουν ήδη καταγραφεί ο σκοπός, η έκταση και τα δεδομένα που εμπλέκονται, και αυτές είναι ακριβώς οι πληροφορίες που χρειάζεται μια εκτίμηση κινδύνου.

Ό,τι υποστηρίζει αυτό: άρθρο 6 GDPR και ο ρυθμιστής

Η υποχρέωση να διεξάγει κανείς μια DPIA προκύπτει από το GDPR και συνδέεται με τη νόμιμη βάση του άρθρου 6 GDPR: μόνο εάν έχει ήδη καθοριστεί νόμιμη βάση για την επεξεργασία, το ερώτημα που ακολουθεί είναι σχετικό ή ότι η επεξεργασία συνεπάγεται επίσης υψηλό κίνδυνο. Οι ρυθμιστές παρέχουν περαιτέρω καθοδήγηση σχετικά με το ποιες επεξεργασίες στην πράξη θεωρούνται ως υψηλός κίνδυνος. στην Ολλανδία, η Αρχή Προστασίας Δεδομένων το κάνει αυτό με τους δικούς της καταλόγους και εξηγήσεις, ενώ ο ρυθμιστής σε άλλο κράτος μέλος μπορεί να χρησιμοποιήσει έναν ελαφρώς διαφορετικό κατάλογο — αυτό που παραμένει ίδιο παντού είναι ο κανόνας από την ίδια την κανονιστική ενέργεια, αυτό που διαφέρει είναι η εθνική εφαρμογή των επεξεργασιών που εμπίπτουν σε αυτό. Όποιος αμφιβάλλει αν η επιχείρησή του, λόγω της έκτασης της επεξεργασίας, χρειάζεται έναν ξεχωριστό υπεύθυνο προστασίας δεδομένων, θα βρει ένα σημείο αναφοράς στο την εξήγηση σχετικά με την υποχρέωση DPO, γιατί αυτές οι δύο ερωτήσεις — DPIA και DPO — συχνά συνδέονται με την ίδια κλίμακα και εκτίμηση κινδύνου της επεξεργασίας.