millal pean läbi viima andmekaitseriskide hinnangu

DPIA on kohustuslik suurema riskiga andmetöötluse puhul

DPIA — andmekaitse mõju hindamine — on kohustuslik, kui andmetöötlus tõenäoliselt kujutab endast suurt riski nende inimeste õiguste ja vabaduste suhtes, kelle andmeid töödeldakse. See ei ole kindel tegevuste loend, mis oleks kõikjal täpselt ühesugune, vaid hinnang, mis algab töötlemise olemuse, ulatuse, konteksti ja eesmärgiga. Suuremahuline tundlike andmete töötlemine, inimeste pidevasuunaline ja süstemaatiline jälgimine avalikult ligipääsetavatel kohtadel, ja andmetöötlused, mis viivad automatiseeritud otsusteni märkimisväärse tulemusega, on näited, mida sageli nimetatakse olukordadena, kus suur risk on tõenäoline.

Tavapärase FIE või VKE jaoks, kes peab kliendiandmeid, personalitöötajate andmeid või raamatupidamissüsteemi, ei ole kohustuslik DPIA tavaliselt ees — need andmetöötlused ei ole tavaliselt piisavalt suuremahuline ega süstemaatiline, et suur risk oleks asjakohane. Niipea kui töödeldakse näiteks tervisega seotud andmeid suuremas mahus, kaamerate abil avalike ruumide jälgimist, või profiilimist, mis mõjutab isikuid, muutub pilt. Kes kahtleb, kas andmetöötlus selesse kategooriasse kuulub, peab selle hinnangu parimal viisil põhjendama samast ülevaatest, mida kasutatakse ka andmetöötluse registri jaoks: iga andmetöötluse kohta on juba fikseeritud, mis on eesmärk, maht ja kaasatud andmed, ja see on täpselt teave, mida risk-hinnang vajab.

Millel see põhineb: AVG artikkel 6 ja järelevalveasutus

DPIA tegemise kohustus tuleneb AVG-st ja on seotud AVG artikli 6 seaduslikkuse alusega: ainult kui andmetöötlemise jaoks on juba kindlaks määratud seaduslik alus, siis on asjakohane järgnev küsimus, kas see andmetöötlus kujutab ka suurt riski. Järelevalveasutused annavad selles osas täiendavaid juhtnööre, millised andmetöötlused praktikas suure riskina nähakse; Hollandis teeb seda Andmekaitse Asutus oma loendite ja selgitustega, samas kui järelevalveasutus teises liikmesriigis võib kasutada veidi erinevat loetelu — see, mis on kõikjal ühesugune, on määruse enda norm, erinevus on selles, kuidas liikmesriik määratleb, millised andmetöötlused selle alla kuuluvad. Kes kahtleb, kas tema ettevõtte andmetöötlemise ulatuse tõttu on vaja eraldi andmekaitsealust, leiab orienteerumispunkti andmekaitsealuse kohta käivast selgitusest, sest need kaks küsimust — DPIA ja andmekaitsealune — on sageli seotud sama suuruse ja andmetöötluse riskihinnanguga.