milloin olen velvollinen tekemään DPIA-arvioinnin

DPIA on pakollinen suurta riskiä sisältävässä käsittelyssa

DPIA — vaikutukset henkilötietojen suojaamiselle arviointi — on pakollinen, kun käsittely todennäköisesti aiheuttaa suuren riskin niiden henkilöiden oikeuksille ja vapauksille, joiden tietoja käsitellään. Se ei ole kiinteä luettelo toiminnoista, jotka olisivat kaikkialla täsmälleen samat, vaan arvio, joka alkaa käsittelyn luonteesta, laajuudesta, kontekstista ja tarkoituksesta. Laajamittainen arkaluonteisten tietojen käsittely, järjestelmällinen ja jatkuva ihmisten valvonta julkisesti saavutettavalla paikalla, ja käsittelyt, jotka johtavat automatisoiduihin päätöksiin, joilla on merkittäviä seurauksia, ovat esimerkkejä tilanteista, joissa suuri riski on yleensä todennäköinen.

Tavalliselle yrittäjälle tai pk-yritykselle, joka ylläpitää asiakastietoja, henkilöstötietoja tai kirjanpitojärjestelmää, pakollinen DPIA ei yleensä ole ajankohtainen — nämä käsittelyt eivät yleensä ole tarpeeksi laajamittaisia tai järjestelmällisiä, jotta ne katsottaisiin suurta riskiä sisältäviksi. Kun taas käsitellään esimerkiksi terveystietoja suuremmassa laajuudessa, kameravalvontaa julkisissa tiloissa tai profilointia, jolla on vaikutuksia yksilöihin, tilanne muuttuu. Kuka epäröi, kuuluuko käsittely tähän kategoriaan, voi parhaiten perustella arvionsa samasta yleiskatsauksesta, joka kootaan myös käsittelyrekisteriin : jokaisen käsittelyn osalta on jo määritetty tarkoitus, laajuus ja asiaan liittyvät tiedot, ja juuri nämä tiedot ovat ne, joita riskien arviointiin tarvitaan.

Mistä tämä johtuu: AVG:n 6 artikla ja valvontaviranomainen

AVG:stä johtuva velvoite suorittaa DPIA on sidottu AVG:n 6 artiklan oikeudelliseen perusteeseen: vasta kun käsittelylle on jo vahvistettu oikeutettu oikeudellinen peruste, nousee seuraava kysymys esiin, sisältääkö käsittely myös suuren riskin. Valvontaviranomaiset antavat tarkempaa ohjausta siitä, mitkä käsittelyt käytännössä nähdään suurta riskiä sisältävinä; Niederländeissa Autoriteit Persoonsgegevens tekee tämän omilla luetteloilla ja selityksillä, kun taas valvontaviranomainen toisessa jäsenvaltiossa voi käyttää hieman erilaista luetteloa — mikä pysyy samana kaikkialla, on asetus itse, mikä eroaa, on se, mitkä käsittelyt kansallisesti katsotaan siihen kuuluviksi. Kuka epäröi, onko hänen yrityksensä käsittelyn laajuuden vuoksi velvoitettu nimittämään erilliset tietosuojan vastuuhenkilö, löytää orientoitumisen kohdan fgn vastuusta annetuista selityksistä, sillä nämä kaksi kysymystä — DPIA ja tietosuojan vastuuhenkilö — liittyvät usein samaan käsittelyn laajuuteen ja riskien arviointiin.