DPIA, u cijelosti procjena utjecaja obrade na zaštitu podataka, je analiza rizika koju prethodno izvodite kada je obrada osobnih podataka vjerojatno povezana s visokim rizikom za osobe čiji se podaci obrađuju. Uredba ne nalaže ovu analizu za svaku obradu, već specifično za obrade koje zbog svoje prirode, opsega, konteksta ili svrhe mogu imati veliki utjecaj — razmislite o velikih dimenzija nadzoru, sustavnom profiliranju ili obradi posebnih kategorija podataka kao što su zdravstveni podaci na veliku skalu.
Trebate li izvršiti DPIA, ovisi o tome što točno radite s podacima, a ne o veličini vašeg poduzeća. Samozaposlena osoba koja u manjoj mjeri instalira kamere u trgovini obično nije obuhvaćena tom obvezom; mala ili srednja poduzeća koja koriste softver s umjetnom inteligencijom za analizu ponašanja kupaca na veliku skalu ili vrednovanje kandidata brže dolaze u situaciju gdje je DPIA obavezna. Autoritet za zaštitu podataka objavljuje popis obrada za koje je prema njezinu mišljenju ta analiza uvijek potrebna; taj popis je dobar polazni okvir za određivanje je li vaša situacija uključena.
Kada je to relevantno za mala i srednja poduzeća
Većina malih i srednjih poduzeća izbjegava formalnu DPIA, jednostavno zato što njihove obrade nemaju opseg ili razinu rizika koju Uredba ima na umu. Međutim, postoje situacije u kojima pitanje naglo postaje relevantno: uvođenje video nadzora s prepoznavanjem lica, korištenje novog alata s umjetnom inteligencijom koji automatski donosi odluke o kupcima ili zaposlenicima, ili proširenje postojećeg softvera s kojim iznenada prikupljate podatke na mnogo većoj skali nego prije.
Nije dakle toliko sektor onaj koji određuje je li DPIA potrebna, već promjena u onome što radite. Odjelje za ljudske resurse koje prelazi na alat za zapošljavanje s automatiziranom analizom životopisa čini dobro što se postavlja pitanje je li ta promjena pod navedene kriterije. Isto vrijedi za upravitelja ureda koji razmatra implementaciju novog programa kao usluge koji prati ponašanje posjetitelja na web-mjestu i kombinira ga s drugim izvorima podataka.
Što bi DPIA trebala sadržavati
DPIA sustavno opisuje što se događa: koji se podaci obrađuju, u koju svrhu, na osnovi koje pravne osnove, i tko može pristupiti podacima. Zatim analiza mapira rizike za fizičke osobe — što može biti pogrešno, i kolika je vjerojatnost i utjecaj toga. Posljednji dio je mjera: koje tehničke ili organizacijske korake se poduzimaju kako bi se ti rizici smanjili, i ostaje li nakon tih mjera još rizika koji se ne može ukloniti.
Ta posljednja točka je važna: ako DPIA pokazuje da i nakon mjera ostaje visok rizik, Uredba propisuje da to trebate predstaviti nadzornom tijelu prije nego što počnete s obradom. To je iznimka, ne standardni korak, ali je razlog zašto DPIA nije nešto što naknadno popunite.
Odnos prema registru obrada
DPIA nije odvojena od ostatka vaše dokumentacije prema Uredbi. Obrada za koju izvodite analizu trebala bi imati svoje mjesto u banci znanja gdje su rizici po obradi razrađeni, kako bi bilo jasno koje obrade trebaju dodatnu pozornost i koje ne. Tko je Already implementirao registar obrada, često odmah vidi koje obrade prema svojoj skali ili osjetljivosti leže bliže DPIA-pragovima od ostalih.
Također je dobar trenutak da ponovno provjerite sporazume s obrađivačima podataka koji se odnose na ovu obradu: vanjska strana koja obrađuje podatke za koje razmatrate DPIA često je i strana kod koje nastaju najveći rizici ako nešto pođe po zlu. Baš kao i kod mogućeg propusta podataka, korisno je unaprijed znati gdje stojite umjesto da morate naknadno utvrđivati što je točno dogovoreno.
Što ako ste u dilemi
Granica između "DPIA vjerojatno nije potrebna" i "bolje prvo analizirati" nije uvijek oštra, i Uredba namjerno ostavlja prostor za vlastitu procjenu. U slučaju dileme, preporučuje se da konzultirate smjernice Službe za zaštitu podataka ili da jurist pregleda vašu specifičnu situaciju. Ova stranica opisuje opću liniju iz Uredbe; nije zamjena za taj savjet.
Želite li prvo dobiti utisak o tome kako se vaše vlastite obrade odnose prema procjeni rizika koju koristi Uredba? Izvršite besplatan brzi pregled ili pregledajte često postavljana pitanja o registru i nadzoru nad njim kako biste vidjeli koji je korak najjednostavniji za vaše poduzeće.