kada turėčiau atlikti duomenų apsaugos poveikio vertinimą

DPIA yra privaloma apdorojant aukštos rizikos duomenis

DPIA — duomenų apsaugos poveikio vertinimas — yra privalomas, kai apdorojimas tikriausiai sukelia aukštą riziką žmonių, kurių duomenys apdorojami, teisėms ir laisvėms. Tai nėra fiksuotas veiklų sąrašas, kuris visur yra visiškai vienodas, o įvertinimas, kuris prasideda nuo apdorojimo pobūdžio, apimties, konteksto ir tikslo. Didelio masto jautrių duomenų apdorojimas, struktūrinis ir sisteminis žmonių stebėjimas viešai prieinamoje vietoje bei apdorojimai, vedantys į automatizuotus sprendimus su reikšmingomis pasekmėmis, yra pavyzdžiai, kurie dažnai minimos kaip situacijos, kuriose aukšta rizika yra tikėtina.

Paprastam individualiam verslininkui arba MKB įmonei, kuri prižiūri kliento duomenis, darbuotojų duomenis arba buhalterinę sistemą, privalomas DPIA paprastai neatrodo akivaizdus — tokie apdorojimai paprastai nėra pakankamai didelio masto ar sistemingu, kad būtų laikomi aukštos rizikos. Kai pradedama dirbti su pvz. sveikatos duomenimis didesniu mastu, kamera stebėjimas viešose erdvėse arba profiliavimu, turinčiu pasekmių asmenims, vaizdas pasikeičia. Kas abejoja, ar apdorojimas patenka į šią kategoriją, geriausiai gali pagrįsti tą įvertinimą remiantis tuo pačiu apžvalga, kuri taip pat konstruojama dėl apdorojimo registras : kiekvienam apdorojimui jau yra nustatytas tikslas, apimtis ir susiję duomenys, o tai yra tiksliai ta informacija, kurios reikalinga rizikos įvertinimui.

Pagrindas: BDAR 6 straipsnis ir priežiūros institucija

DPIA atlikimo pareiga kyla iš BDAR ir yra susieta su BDAR 6 straipsnio teisėtumo pagrindu: tik jei jau nustatytas teisėtas apdorojimo pagrindas, relevantus klausimas yra, ar tas apdorojimas taip pat suneša aukštą riziką. Priežiūros institucijos šiuo atžvilgiu pateikia tolesnį paaiškinimą, kurie apdorojimai praktikoje laikomi aukštos rizikos; Nyderlanduose Asmenų duomenų apsaugos biuras tai daro savais sąrašais ir paaiškinimais, o priežiūros institucija kitoje valstybėje gali naudoti šiek tiek kitokį sąrašą — tas, kas lieka lygiai visur yra pati direktyvos norma, kas skiriasi yra nacionalinis tos direktyvos apdorojimų, kurie jai patenka, taikymas. Kas abejoja, ar jų verslas, dėl apdorojimo apimties, reikalingas atskiras duomenų apsaugos pareigūnas, randa pradinį tašką paaiškinime apie dap pareigūno pareigą, nes šie du klausimai — DPIA ir dap — dažnai yra susieti su ta pačia apdorojimo apimtimi ir rizikos įvertinimu.