DPIA, täielikult andmekaitse mõjuhinnang, on riskianalüüs, mille viite läbi enne aega, kui isikuandmete töötlemine tõenäoliselt toob kaasa kõrge riski inimestele, kelle andmeid see puudutab. GDPR ei kohusta seda analüüsi iga töötlemise puhul, vaid täpselt nende töötlemiste puhul, mis oma olemuse, ulatuse, konteksti või eesmärgi poolest võivad omada suurt mõju — mõelge näiteks otsustava jälgimise, süstemaatilise profileerimise või tundlike andmete, näiteks tervisealaste andmete töötlemisele suurel skaalal.
Kas teie ettevõte peab DPIA-d läbi viima, sõltub sellest, mida täpselt teete andmetega, mitte teie suurusest ettevõttena. Väikeettevõtja, kes paigaldab pisikese kaalal kaameraid poodi, ei kuulu tavaliselt selle kohustuse alla; MKB-ettevõte, mis kasutab AI-tarkvara kliendikäitumise analüüsimiseks suures mahus või kandidaatide selekteerimiseks, satub kiiremini DPIA kohustuse piirkonda. Autoriteit Persoonsgegevens avaldab nimekirja töötlemistest, millised analüüsid tema arvates on alati vajalikud; see nimekiri on hea alguspunkt, et teha kindlaks, kas teie olukord sellesse kuulub.
Millal see MKB jaoks aktuaalne on
Enamik MKB-ettevõtteid väldib ametlikku DPIA-d, lihtsalt seetõttu, et nende töötlemistel ei ole seda ulatust ega riskitaset, mida GDPR silmas peab. Sellegipoolest on olemas olukorrad, kus küsimus järsku muutub asjakohaseks: näitevõtmisel jälgimisega kaameratest koos näotuvastamisega, uue AI-vahendi kasutamisel, mis teeb automatiseeritult otsuseid klientide või töötajate kohta, või olemasoleva tarkvara laiendamisel, mille kaudu te järsku kogute andmeid palju suuremas mahus kui varem.
Seega määrab seda, kas DPIA-d vaja on, pigem muutus teie tegevuses, mitte valdkond. HR-osakond, kes lülitub üle kandidaatide valimise vahenditele automaatse CV-sõelumisega, peaks selgeks tegema, kas see üleminekutegevus kriteeriumite alla kuulub. Sama kehtib kontori juhataja kohta, kes kaalub uue SaaS-vahendi juurutamist, mis jälgib külastajate käitumist saidil ja kombineerib seda teiste andmeallikatega.
Mida peab sisaldama DPIA
DPIA kirjeldab süstemaatiliselt, mis juhtub: milliseid andmeid töödeldakse, millise eesmärgiga, millise õiguslike aluste alusel ja kes pääsevad andmete juurde. Seejärel analüüsib analüüs andmesubjektide jaoks tekivaid riske — mis võib valesti minna ja kui suur on selle tõenäosus ning mõju. Viimane osa on meetme võtmine: milliseid tehnilisi või organisatsioonilisi samme võetakse nende riskide vähendamiseks ja kas pärast neid meetmeid jääb alles risk, mida ei saa kõrvaldada.
See viimane punkt on oluline: kui DPIA näitab, et ka pärast meetmeid jääb alles kõrge risk, nõuab AVG-määrus teil seda enne töötlemise alustamist järelevalveasutusele esitada. See on erand, mitte standardmeetod, kuid see on põhjus, miks DPIA ei ole miski, mida täidate hiljem kiiresti.
Seos töötlemisregistriga
DPIA ei ole eraldiseisev teie muust AVG-administratsioonist. Töötlemist, mille jaoks analüüsi teete, tuleb paigutada ka teadmusbaasi, kus riskid on töötlemise kaupa välja töötatud, nii et on selge, millised töötlemised vajavad täiendavat tähelepanu ja millised mitte. Kes on töötlemisregistri juba korda saanud, näeb sageli iseenesest, millised töötlemised mahult või tundlikkuselt asuvad DPIA-künnisele lähemale kui teised.
See is hea aeg ka ka kontrollida nendega seotud andmehaldusleppeid: väline osapool, kes töötleb andmeid, mille puhul kaalute DPIA läbiviimist, on sageli ka osapool, kelle juures tekivad suurimad riskid, kui midagi läheb valesti. Nii nagu võimaliku andmelekke puhul on kasulik teada ette, kus te seisate, selle asemel et hiljem peaksid välja selgitama, mis täpselt kokku lepiti.
Mis siis, kui teie kahtlete
Piir "tõenäoliselt ei ole DPIA vaja" ja "parem esmalt analüüsida" vahel pole alati terav, ja määrus jätab siia teadlikult ruumi omavolikuliseks hindamiseks. Kahtluse korral on soovitatav konsulteerida andmete kaitse järelevalveasutuse juhendite või juristiga, kes vaataks teie spetsiifilist olukorda. See leht kirjeldab määrusest lähtuvat üldist joont; see ei asenda seda nõustamist.
Kas soovite esmalt saada ülevaate sellest, kuidas teie omaversioonis töötlused vastavad AVG kasutatavale riskihindamisele? Tehke tasuta kiirülevaatus või sirvige tihti esitatud küsimusi registri ja selle järelevalve kohta et näha, milline samm teie ettevõttele kõige sobivam on.