A DPIA, teljes nevén adatvédelmi hatásbecslés, egy kockázatértékelés, amelyet előzetesen végez el, amikor a személyes adatok feldolgozása valószínűleg magas kockázatot jelent az adatok érintettjei számára. A GDPR nem írja elő ezt az elemzést minden feldolgozásnál, hanem kifejezetten azoknak a feldolgozásoknak a tekintetében, amelyek jellegük, terjedelmük, kontextusuk vagy céljuk miatt nagy hatással lehetnek — gondoljunk a nagyszabású felügyeletre, szisztematikus profilozásra vagy a különleges adatok, például az egészségügyi adatok nagyszabású feldolgozására.
Hogy a vállalkozásának végre kell-e hajtania egy DPIA-t, attól függ, hogy pontosan mit csinál az adatokkal, nem a vállalkozása méretétől. Egy egyéni vállalkozó, aki kis méretben kamerákat szerel fel egy boltban, általában kívül esik ezen a kötelezettségen; egy kkv-vállalkozás, amely mesterséges intelligencia szoftverrel nagy méretben elemzi az ügyfélmagatartást vagy szűri a jelentkezőket, gyorsabban kerül egy kötelező DPIA-val kapcsolatos helyzetbe. A Személyes Adatok Hatóság közzétesz egy listát azokról a feldolgozásokról, amelyekhez az ő véleménye szerint mindig szükséges ez az elemzés; ez a lista jó kiindulópont annak meghatározásához, hogy az Ön helyzete megfelel-e.
Mikor merül fel ez a kkv szektornál
A legtöbb kkv-vállalkozás elkerül egy formális DPIA-t, egyszerűen azért, mert feldolgozásaik nem rendelkeznek azzal a terjedelmmel vagy kockázati szinttel, amelyre a GDPR utal. Ennek ellenére vannak olyan helyzetek, amikor a kérdés hirtelen releváns lesz: arcfelismerési kamerafelügyelet bevezetése, az arcfelismerési kamerafelügyelet bevezetése, az arcfelismerési kamerafelügyelet bevezetése, új mesterséges intelligencia-eszköz használata, amely automatikusan döntéseket hoz az ügyfelekről vagy az alkalmazottakról, vagy a meglévő szoftver kiterjesztése, amellyel hirtelen sokkal nagyobb mértékben gyűjt adatokat, mint korábban.
Tehát nem annyira a szektor az, amely meghatározza, hogy szükséges-e egy DPIA, hanem a változás, amely azt teszi, amit Ön csinál. Az emberi erőforrások osztály, amely automatikus cv-szűréses toborzási eszközre vált, jól teszi, ha felteszi magának a kérdést, hogy ez az átváltás az adott kritériumok alá esik-e. Ugyanez vonatkozik az irodavezető számára, aki egy új SaaS-eszköz telepítését fontolgatja, amely nyomon követi a weboldal látogatóinak viselkedését, és ezt más adatforrásokkal kombinál.
Mit kell tartalmaznia egy DPIA-nak
Egy DPIA szisztematikusan leírja, hogy mi történik: mely adatokat dolgozzák fel, milyen céllal, mely jogalappal, és ki férheti hozzá az adatokhoz. Ezt követően az elemzés az érintettekre vonatkozó kockázatokat térképezi fel — mi mehet rosszul, és mekkora az erre vonatkozó valószínűség és hatás. Az utolsó rész az intézkedés: mely technikai vagy szervezeti lépéseket teszik meg ezeknek a kockázatoknak a csökkentésére, és marad-e az intézkedések után olyan kockázat, amely nem csökkenthető.
Ez az utolsó pont fontos: ha egy DPIA kimutatja, hogy az intézkedések után is magas kockázat marad, a GDPR előírja, hogy ezt a feldolgozás megkezdése előtt benyújtsa a felügyeleti hatóságnak. Ez egy kivétel, nem egy szokásos lépés, de ez az oka annak, hogy a DPIA nem valami, amit utólag egyszerűen kitölt.
A kapcsolat a feldolgozási nyilvántartással
A DPIA nem áll izoláltan az AVG-adminisztráció többi részétől. Az elemzéshez szükséges feldolgozásnak helyet kell kapnia az a tudásbázisban, ahol a kockázatok feldolgozásonként ki vannak dolgozva, hogy egyértelmű maradjon, mely feldolgozások igényelnek extra figyelmet, és melyek nem. Aki már rendben tartja a feldolgozási nyilvántartást, gyakran természetesen látja, mely feldolgozások terjedelmük vagy érzékenységük tekintetében közelebb vannak a DPIA-küszöbhöz, mint mások.
Szintén jó időpontja az ehhez a feldolgozáshoz tartozó adatkezelési szerződések ellenőrzésének: egy külső fél, amely az Ön által egy DPIA-t fontolgatott adatokkal dolgozik, gyakran ugyanaz a fél, ahol a legnagyobb kockázatok keletkeznek, ha valami balul sül el. Ahogyan egy lehetséges adatsértés esetében, itt is hasznos, ha előzetesen tudja, hol áll, ahelyett, hogy utólag kellene kiderítenie, mi volt pontosan megállapodás.
Mi van, ha kételkedik
Az "valószínűleg nem szükséges DPIA" és a "jobb előbb elemezni" közötti határ nem mindig éles, és az AVG szándékosan hagy helyet a saját mérlegelésre. Kétség esetén ajánlatos az Adatvédelmi Hatóság iránymutatásait megtekinteni vagy egy jogászhoz fordulni az Ön konkrét helyzetét illetően. Ez az oldal a rendelet általános vonalát írja le; nem helyettesíti az adott tanácsot.
Szeretne először benyomást nyerni arról, hogy az Ön saját feldolgozásai hogyan viszonyulnak az AVG által alkalmazott kockázatbecsléshez? Végezze el az ingyenes gyorsértékelést vagy keresse meg a regiszterrel és annak felügyeletével kapcsolatos gyakran ismételt kérdéseket hogy megtudja, melyik lépés a legkézenfekvőbb az Ön vállalkozása számára.