kada sam obvezan provesti procjenu utjecaja zaštite podataka

DPIA je obavezna pri obradi visokog rizika

DPIA — procjena učinka zaštite podataka — je obavezna kada obrada vjerojatno predstavlja visok rizik za prava i slobode osoba čiji se podaci obrađuju. To nije fiksna lista aktivnosti koja je svugdje identična, već je to procjena koja počinje s prirodom, opsegom, kontekstom i svrhom obrade. Obrada velikog opsega osjetljivih podataka, strukturirano i sustavno praćenje osoba na mjestu dostupnom javnosti, te obrade koje dovode do automatizirane odluke sa značajnim posledicama, primjeri su koji se često navode kao situacije u kojima je visok rizik vjerojatan.

Za običnog samostalca ili malo ili srednje veliku tvrtku koja održava podatke o kupcima, podatke zaposlenika ili računovodstveni sustav, obavezna DPIA obično nije na dnevnom redu — te obrade obično nisu dovoljno velikog opsega ili sustavne da bi se smatrale visokim rizikom. Čim se radi s primjerice zdravstvenim podacima većeg opsega, video nadzorom javnih prostora ili profiliranjem koje ima učinke na pojedince, slika se mijenja. Tko sumnja može li se obrada svrstati u tu kategoriju, tu procjenu najbolje može potkrijepiti iz iste pregleda koja se gradi i za register obrada , jer se za svaku obradu već utvrdi koja je svrha, opseg i koji su podaci uključeni, a to je upravo informacija koju procjena rizika trebuje.

Na čemu se to osniva: članak 6 GDPR-a i nadzorna tijela

Obveza provedbe DPIA proizlazi iz GDPR-a i vezana je uz zakonitu osnovu obrade iz članka 6 GDPR-a: samo ako je već utvrđena zakonita osnova za obradu, relevantno je pitanje jesu li s tom obradom povezani i viški rizici. Nadzorna tijela daju daljnje pojašnjenje o tome koja se obrada u praksi smatra visokim rizikom; u Nizozemskoj to Autoritet za zaštitu podataka čini vlastitim listama i pojašnjenjima, dok nadzorno tijelo u drugoj državi članici može koristiti donekle drugačiju listu — što je svugdje isto je norma iz same Uredbe, što se razlikuje je nacionalna interpretacija koje obrade to obuhvaća. Tko sumnja trebate li njegove tvrtke s obzirom na opseg obrade posebnog službenika za zaštitu podataka, nalazi hvataljku u objašnjenju obveze službenika za zaštitu podataka, jer se ta dva pitanja — DPIA i službenika za zaštitu podataka — često vežu na isti opseg i istu procjenu rizika obrade.