mikor vagyok kötelezve DPIA-t végezni

Egy DPIA kötelező a magas kockázatú adatkezeléshez

Egy DPIA — egy adatvédelmi hatásbecslés — kötelező akkor, amikor az adatkezelés valószínűleg magas kockázatot jelent az adatok kezelésében érintett személyek jogaira és szabadságaira nézve. Ez nem egy fix tevékenységlista, amely mindenhol pontosan ugyanaz, hanem egy felmérés, amely az adatkezelés jellegéből, terjedelmébő, kontextusából és céljából indul ki. A személyes adatok nagyszabású kezelése, az emberek szisztematikus figyelemmel kísérése egy nyilvánosan elérhető helyen, és az olyan adatkezelések, amelyek jelentős következményekkel járó automatizált döntésekhez vezetnek, olyan szituációk közé tartoznak, amelyeket gyakran említenek olyan helyzetekként, ahol a magas kockázat valószínű.

Az átlagos egyéni vállalkozó vagy kkv, amely ügyfél-adatokat, személyzeti adatokat vagy könyvelési rendszert vezet, számára egy kötelező DPIA általában nem szükséges — az ilyen adatkezelések általában nem elég nagyszabásúak vagy szisztematikusak ahhoz, hogy magas kockázatnak tekintendők legyenek. Amint azonban például nagyobb léptékben egészségügyi adatokkal, nyilvános tereken történő kamerafelügyelettel, vagy olyan profilalkotással dolgoznak, amelynek egyéni következményei vannak, a helyzet megváltozik. Aki bizonytalannak érzi magát abban, hogy egy adatkezelés ebbe a kategóriába tartozik-e, az adott felmérést a legjobban ugyanabból a felülvizsgálatból indíthatja meg, amely az adatkezelési nyilvántartáshoz is előkészítésre kerül: minden adatkezelés esetében már rögzítve van, hogy mi a cél, a terjedelem és az érintett adatok, és ez pontosan az információ, amely a kockázatfelméréshez szükséges.

Amire ez épül: a GDPR 6. cikke és a felügyelő hatóság

A DPIA végrehajtásának kötelezettsége a GDPR-ből ered, és a GDPR 6. cikk szerinti jogalaphoz kötődik: csak akkor, ha az adatkezeléshez már megállapított egy jogszerű jogalapot, merül fel az ezt követő kérdés, hogy az a kezelés magas kockázatot jelent-e. A felügyeleti hatóságok ebben a vonatkozásban részletesebben meghatározzák, hogy mely adatkezelések gyakorlatban magas kockázatúnak tekintendők; Hollandiában az Autoriteit Persoonsgegevens saját listáival és magyarázataival tesz ebben közreműködést, míg más tagállamban a felügyeleti hatóság némileg eltérő listát alkalmazhat — amit mindenhol azonos módon tartanak, az a rendelet által leírt norma, amit pedig eltérően kezelnek az egyes adatkezelések besorolása. Aki bizonytalan abban, hogy vállalatának az adatkezelés terjedelme miatt külön adatvédelmi tisztviselőre van-e szüksége, támpontot talál a fg-kötelezettségről szóló magyarázatban, mivel ez a két kérdés — a DPIA és a fg — gyakran ugyanazok a mérethezhez és az adatkezelés kockázatfelméréshez kapcsolódik.