Μια DPIA, με την πλήρη εκφορά ανάλυση αντικτύπου στην προστασία δεδομένων, είναι μια ανάλυση κινδύνου που εκτελείτε εκ των προτέρων όταν η επεξεργασία δεδομένων προσωπικού χαρακτήρα ενδέχεται να ενέχει υψηλό κίνδυνο για τα άτομα των οποίων τα δεδομένα ανήκουν. Ο GDPR δεν επιβάλλει αυτή την ανάλυση σε κάθε επεξεργασία, αλλά ειδικά σε επεξεργασίες που λόγω της φύσης, της έκτασης, του πλαισίου ή του σκοπού τους ενδέχεται να έχουν μεγάλο αντίκτυπο — σκεφτείτε την ευρεία παρακολούθηση, τη συστηματική κατηγοριοποίηση ή την επεξεργασία ειδικών κατηγοριών δεδομένων όπως τα δεδομένα υγείας σε μεγάλη κλίμακα.
Το αν πρέπει η επιχείρησή σας να εκτελέσει μια DPIA εξαρτάται από το τι ακριβώς κάνετε με τα δεδομένα, όχι από το μέγεθος της επιχείρησής σας. Ένας ανεξάρτητος επαγγελματίας που τοποθετεί κάμερες μικρής κλίμακας σε ένα κατάστημα πέφτει συνήθως έξω από αυτή την υποχρέωση· μια ΜΜΕ που με λογισμικό τεχνητής νοημοσύνης αναλύει σε μεγάλη κλίμακα τη συμπεριφορά πελατών ή αξιολογεί υποψηφίους έρχεται πιο γρήγορα στο πεδίο της υποχρεωτικής DPIA. Η Αρχή Προστασίας Δεδομένων δημοσιεύει μια λίστα επεξεργασιών για τις οποίες θεωρεί ότι αυτή η ανάλυση είναι πάντα απαραίτητη· αυτή η λίστα είναι ένα καλό σημείο εκκίνησης για να προσδιορίσετε αν η κατάστασή σας περιλαμβάνεται.
Πότε ισχύει αυτό για τις ΜΜΕ
Οι περισσότερες ΜΜΕ αποφεύγουν μια επίσημη DPIA, απλώς και μόνο επειδή οι επεξεργασίες τους δεν έχουν την κλίμακα ή το επίπεδο κινδύνου που προορίζει ο GDPR. Ωστόσο, υπάρχουν καταστάσεις στις οποίες το ερώτημα ξαφνικά γίνεται σχετικό: η εισαγωγή παρακολούθησης κάμερας με αναγνώριση προσώπου, η χρήση ενός νέου εργαλείου τεχνητής νοημοσύνης που λαμβάνει αυτόματα αποφάσεις για πελάτες ή υπαλλήλους, ή μια επέκταση του υπάρχοντος λογισμικού με το οποίο ξαφνικά συγκεντρώνετε δεδομένα σε πολύ μεγαλύτερη κλίμακα από ό,τι πριν.
Επομένως, δεν είναι τόσο ο κλάδος που καθορίζει αν είναι απαραίτητη μια DPIA, αλλά η αλλαγή σε αυτό που κάνετε. Ένα τμήμα ανθρώπινου δυναμικού που μεταβαίνει σε ένα εργαλείο αίτησης με αυτόματη ανάλυση βιογραφικών σημειωμάτων θα ήταν σωστό να αναρωτηθεί αν αυτή η μετάβαση εμπίπτει στα κριτήρια. Το ίδιο ισχύει για έναν υπεύθυνο γραφείου που σκέπτεται να αναπτύξει ένα νέο εργαλείο SaaS που παρακολουθεί τη συμπεριφορά επισκεπτών στο ιστόσελο και το συνδυάζει με άλλες πηγές δεδομένων.
Τι θα πρέπει να περιλαμβάνει μια DPIA
Μια DPIA περιγράφει συστηματικά τι συμβαίνει: ποια δεδομένα επεξεργάζονται, για ποιο σκοπό, με ποια βάση και ποιος μπορεί να έχει πρόσβαση στα δεδομένα. Στη συνέχεια, η ανάλυση χαρτογραφεί τους κινδύνους για τα υποκείμενα — τι μπορεί να πάει στραβά και ποια είναι η πιθανότητα και ο αντίκτυπος. Το τελευταίο μέρος είναι το μέτρο: ποια τεχνικά ή οργανωτικά βήματα λαμβάνονται για να μειωθούν αυτοί οι κίνδυνοι και παραμένει μετά από αυτά τα μέτρα κάποιος κίνδυνος που δεν μπορεί να εξαλειφθεί.
Αυτό το τελευταίο σημείο είναι σημαντικό: εάν μια DPIA καταδείξει ότι υπάρχει υψηλό κίνδυνο ακόμη και μετά τα μέτρα, ο GDPR προβλέπει ότι πρέπει να το υποβάλλετε στην εποπτική αρχή πριν ξεκινήσετε την επεξεργασία. Αυτή είναι μια εξαίρεση, όχι ένα τυπικό βήμα, αλλά είναι ο λόγος για τον οποίο μια DPIA δεν είναι κάτι που συμπληρώνετε εκ των υστέρων.
Η σχέση με το λειτουργικό αρχείο
Μια DPIA δεν αποτελεί ανεξάρτητη υπόθεση από το υπόλοιπο του καταλόγου ελέγχου προστασίας δεδομένων σας. Η επεξεργασία για την οποία εκτελείτε την ανάλυση θα πρέπει επίσης να τοποθετηθεί σε τη γνωσιακή βάση όπου οι κίνδυνοι ανά επεξεργασία έχουν αναπτυχθεί, έτσι ώστε να παραμένει σαφές ποιες επεξεργασίες χρειάζονται πρόσθετη προσοχή και ποιες όχι. Όποιος έχει ήδη διευθετήσει το λειτουργικό αρχείο, συχνά βλέπει αυτόματα ποιες επεξεργασίες όσον αφορά την κλίμακα ή την ευαισθησία είναι πιο κοντά στο όριο DPIA από ό,τι άλλες.
Είναι επίσης καλή στιγμή να ελέγξετε εκ νέου τις συμφωνίες επεξεργασίας που σχετίζονται με αυτήν την επεξεργασία: ένα εξωτερικό μέρος που επεξεργάζεται τα δεδομένα για τα οποία εξετάζετε μια DPIA είναι συχνά και το μέρος όπου προκύπτουν οι μεγαλύτεροι κίνδυνοι αν κάτι πάει στραβά. Όπως και σε ενδεχόμενη παραβίαση δεδομένων, είναι χρήσιμο να γνωρίζετε εκ των προτέρων την κατάστασή σας αντί να πρέπει να ανακαλύψετε εκ των υστέρων τι ακριβώς συμφωνήθηκε.
Τι γίνεται αν αμφιβάλλετε
Το όριο μεταξύ «πιθανώς δεν απαιτείται DPIA» και «καλύτερο να αναλύσετε πρώτα» δεν είναι πάντα σαφές και ο GDPR αφήνει σκόπιμα περιθώριο για δική σας κρίση. Σε περίπτωση αμφιβολίας, συνιστάται να συμβουλευθείτε τις κατευθυντήριες γραμμές της Αρχής Προστασίας Δεδομένων ή να ζητήσετε από έναν νομικό συμβουλό να εξετάσει την ειδική κατάστασή σας. Αυτή η σελίδα περιγράφει τη γενική κατεύθυνση της διάταξης· δεν αποτελεί αντικατάστασή της συμβουλής.
Θέλετε πρώτα να έχετε μια εντύπωση για το πώς σχετίζονται οι δικές σας επεξεργασίες με την εκτίμηση κινδύνου που χρησιμοποιεί ο GDPR; Κάντε τη δωρεάν γρήγορη σάρωση ή περιηγηθείτε Συχνές ερωτήσεις σχετικά με το μητρώο και την παρακολούθησή του για να δείτε ποιο βήμα είναι πιο κατάλληλο για την επιχείρησή σας.