DPIA, täydellä nimella tietosuojavaikutusten arviointi, on riskianalyysi, jonka suoritat etukäteen, kun henkilötietojen käsittely todennäköisesti aiheuttaa suuren riskin niille ihmisille, joiden tietoja käsitellään. Yleisen tietosuoja-asetuksen (GDPR) mukaan tämä analyysi ei ole pakollinen jokaisen käsittelyn yhteydessä, vaan erityisesti niissä käsittelyissä, jotka voivat luonteensa, laajuutensa, kontekstinsa tai tarkoituksensa vuoksi aiheuttaa merkittävää vaikutusta — kuten laajamittainen seuranta, järjestelmällinen profilointi tai erityisten tietojen, kuten terveystietojen, laajamittainen käsittely.
Se, onko yrityksesi velvollinen suorittamaan DPIA:n, riippuu siitä, mitä teet tiedoilla, ei yrityksen koosta. Yrittäjä, joka asentaa kameroita pienessä mittakaavassa kauppaan, jää yleensä tämän velvoitteen ulkopuolelle; pk-yritys, joka analysoi asiakkaiden käyttäytymistä suuressa mittakaavassa tekoäly-ohjelmistolla tai seuloo hakijoita, joutuu helpommin pakollisen DPIA:n piiriin. Tietosuojaviranomainen julkaisee luettelon käsittelyistä, joille tämä analyysi hänen mukaansa on aina tarpeen; tämä luettelo on hyvä lähtökohta sen määrittämiseen, kuuluuko tilanteeseesi tämä.
Milloin tämä koskee pk-yrityksiä
Useimmat pk-yritykset välttyvät muodolliselta DPIA:lta yksinkertaisesti siksi, että heidän käsittelynsä eivät saavuta sitä mittakaavaa tai riskin tasoa, jonka GDPR tarkoittaa. Silti on tilanteita, joissa kysymys yhtäkkiä tulee relevanttiksi: kasvojen tunnistuksella varustetun kameravalvonnan käyttöönotto, uuden tekoälytyökalun käyttäminen, joka tekee automaattisesti päätöksiä asiakkaista tai työntekijöistä, tai olemassa olevan ohjelmiston laajentaminen, jonka avulla keräät yhtäkkiä paljon enemmän tietoja kuin aiemmin.
Siksi ei ole niinkään toimiala, joka määrää, onko DPIA tarpeen, vaan muutos siinä, mitä teet. HR-osasto, joka vaihtaa hakemuksien käsittelyyn tarkoitettuun työkaluun, jossa on automaattinen CV-seulonta, tekee hyvin, jos kysyy itseltään, kuuluuko tämä muutos kriteereihin. Sama pätee toimistovastaavaan, joka harkitsee uuden SaaS-työkalun käyttöönottoa, joka seuraa verkkosivustollesi vierailijoiden käyttäytymistä ja yhdistää sen muista tietolähteistä peräisin oleviin tietoihin.
Mitä DPIA:n tulee sisältää
DPIA kuvailee järjestelmällisesti, mitä tapahtuu: mitä tietoja käsitellään, mihin tarkoitukseen, millä perusteella ja kuka pääsee tietoihin. Seuraavaksi analyysi kartoittaa riskit rekisteröidyille — mitä voi mennä pieleen ja kuinka todennäköistä ja vakavaa se on. Viimeinen osa on toimenpide: mitkä tekniset tai organisatoriset toimet toteutetaan näiden riskien pienentämiseksi ja jääkö toimenpiteiden jälkeenkin hallitsematon riski.
Tämä viimeinen kohta on tärkeä: jos DPIA paljastaa, että toimenpiteiden jälkeen on vielä olemassa hallitsematon riski, GDPR määrää, että sinun on esitettävä tämä valvontaviranomaiselle ennen käsittelyn aloittamista. Tämä on poikkeus, ei vakiotoimenpide, mutta se on syy siihen, miksi DPIA ei ole jotain, jonka voit täyttää jälkikäteen.
Suhde käsittelyrekisteriin
DPIA ei ole erillinen muista GDPR-hallinnosta. Käsittely, jolle suoritat analyysin, on saatava myös tietopankissa, jossa riskit on eritelty käsittelystä kerrallaan, jotta on selvästi nähtävissä, mitkä käsittelyt tarvitsevat lisää huomiota ja mitkä eivät. Jos sinulla on käsittelyrekisteri jo kunnossa, näet usein välittömästi, mitkä käsittelyt mittakaavansa tai arkaluonteisuutensa vuoksi ovat lähempänä DPIA-rajaa kuin muut.
Se on myös hyvä aika tarkastaa tähän käsittelyyn liittyvät tietojen käsittelijän sopimukset: ulkopuolinen osapuoli, joka käsittelee tietoja, joille harkitset DPIA:ta, on usein myös osapuoli, jolle suurimmat riskit syntyvät, jos jokin menee pieleen. Kuten mahdollisen tietovuodon yhteydessä, on hyödyllistä tietää etukäteen, missä seisot sen sijaan, että joudut selvittämään jälkeenpäin, mitä tarkalleen oli sovittu.
Entä jos olet epävarma
Raja "DPIA:ta ei todennäköisesti tarvita" ja "parempi analysoida ensin" välillä ei ole aina terävä, ja GDPR jättää tietoisesti tilaa omalle harkinnalle. Epävarmuuden tapauksessa on suositeltavaa kuulla Tietosuojaviranomaisen ohjeita tai pyytää juristi katsomaan sinun erityistilanteeseesi. Tämä sivu kuvaa asetuksen yleisen linjan; se ei korvaa tuota neuvontaa.
Haluatko ensin saada käsityksen siitä, miten omat käsittelysi suhteutuvat GDPR:n käyttämään riskinarvioinnin tasoon? Tee ilmainen quick-scan tai selaa usein kysyttyjä kysymyksiä rekisteristä ja sen seurannasta nähdäksesi, mikä vaihe on yrityksellesi selkein.