DPIA, visiškai vadinama duomenų apsaugos poveikio vertinimu, yra rizikos analizė, kurią atliekate iš anksto, kai asmenines duomenis apdorojantis procesas tikriausiai kelia didelę riziką žmonėms, kurių duomenys apdorojami. BDAR šio vertinimo nereikalauja atliekant kiekvieną apdorojimą, tačiau konkrečiai atliekant apdorojimus, kurie savo pobūdžiu, apimtimi, kontekstu ar tikslu gali turėti didelį poveikį — pagalvokite apie stambaus masto stebėjimą, sisteminę profilizavimą ar specialių duomenų, tokių kaip sveikatos duomenys, apdorojimą stambaus masto.
Tai, ar jūsų įmonė turi atlikti DPIA, priklauso nuo to, ką tiksliai darote su duomenimis, o ne nuo jūsų įmonės dydžio. Vienasmenė įmonė, kuri nedideliu mastu įrengia kameras parduotuvėje, paprastai nepatenkina šios pareigos; MVĮ, kuri naudoja dirbtinio intelekto programinę įrangą stambaus masto kliento elgesiui analizuoti arba kandidatams filtruoti, greičiau patenka į privalomojo DPIA reikalavimus. Duomenų apsaugos tarnyba skelbia sąrašą apdorojimų, kuriems jos nuomone visada reikalinga ši analizė; tas sąrašas yra geras pradžios taškas, kad nustatytumėte, ar jūsų situacija į jį patinka.
Kada tai svarbu MVĮ
Daugiausia MVĮ išvengia formalaus DPIA, paprasčiausiai todėl, kad jų apdorojimas neturi to masto ar rizikos lygio, kurį BDAR numatė. Tačiau yra situacijų, kuriose klausimas staiga tampa svarbus: kamerinės stebėjimo sistemos įdiegimas su veido atpažinimu, naujos dirbtinio intelekto priemonės naudojimas, kuri automatiškai priima sprendimus dėl klientų ar darbuotojų, arba esamos programinės įrangos išplėtimas, dėl kurio staiga renkate duomenis daug didesniu mastu nei iki šiol.
Taigi ne tiek sektoriaus, kiek jūsų veiklos pasikeitimas lemia, ar reikalingas DPIA. Personalo skyrius, kuris smarkiai keičia kandidatų atrankos priemonę su automatiniu CV filtravimą, turėtų susimąstyti, ar tas pokytis patenka į kriterijus. Tas pats pasakytina ir vadybininkui, kuris svarsto naujosios SaaS priemonės diegimą, kuri seka lankytojų elgesį jūsų svetainėje ir sujungia su kitais duomenų šaltiniais.
Ką turėtų apimti DPIA
DPIA sistemingai aprašo, kas vyksta: kokie duomenys apdorojami, kokiu tikslu, pagal kokį pagrindą ir kas gali pasiekti tuos duomenis. Toliau analizė nustato riziką asmenims, kurių duomenys apdorojami — kas gali nutikti, kokia yra jos tikimybė ir poveikis. Paskutinė dalis yra priemonė: kokius techninius ar organizacinius žingsnius darote, norėdami sumažinti tą riziką, ir ar po šių priemonių lieka rizika, kurios negalima pašalinti.
Tas paskutinis punktas yra svarbus: jei DPIA rodo, kad net po priemonių lieka didelė rizika, BDAR reikalauja, kad tai pateiktumėte priežiūros institucijai prieš pradėdami apdorojimą. Tai yra išimtis, ne standartinis veiksmas, tačiau tai paaiškina, kodėl DPIA nėra tik greitai užpildytinas dokumentas.
Sąsaja su duomenų apdorojimo registru
DPIA stovi atskirai nuo jūsų kitos BDAR administracijos. Apdorojimas, dėl kurio atliekate analizę, taip pat turėtų užimti vietą žinių banke, kuriame per kiekvieną apdorojimą išdėstytos rizikos, kad būtų aišku, kurie apdorojami procesai reikalingi papildomam dėmesiui ir kurie ne. Kas jau turi tvarkoje duomenų apdorojimo registrą, dažnai savaime pamato, kurie apdorojami procesai pagal apimtį ar jautrumą arčiau DPIA ribos nei kiti.
Tai taip pat geras momentas dar kartą patikrinti šioje veikloje naudojamus duomenų tvarkymo susitarimus: išorinė šalis, kuri tvarko duomenis, dėl kurių svarstote DPIA, dažnai yra ta pati šalis, kurioje iškyla didžiausi rizikai, jei kas nors nepavyks. Kaip ir galimos duomenų saugumo pažeidos atveju, iš anksto žinoti, kaip stovite, yra naudingiausiai nei vėliau turėti išsiaiškinti, kas tiksliai buvo susitarta.
Ką daryti, jei abejojate
Riba tarp "tikriausiai DPIA nereikalinga" ir "geriau pirmiausia išanalizuoti" ne visada yra aiški, o BDAR čia sąmoningai palieka vietos asmeniniam vertinimui. Abejojant, rekomenduojama pasitarti su Asmenų duomenų apsaugos valdžios institucijos gairėmis arba paprašyti juristą išnagrinėti jūsų konkrečią situaciją. Šiame puslapyje aprašoma bendras reglamento nustatytas principas; jis nekeičia to patarimo.
Ar norėtumėte pirmiausia gauti įspūdį apie tai, kaip jūsų pačių duomenų apdorbimai atitinka rizikos vertinimą, kurį naudoja BDAR? Atlikite nemokamą greitą patikrą arba peržiūrėkite dažnai užduodami klausimai apie registrą ir jo priežiūrą norėdami pamatyti, kuris žingsnis labiausiai tiktų jūsų įmonei