kad es esmu pienākums veikt datu aizsardzības ietekmes novērtējumu

DPIA ir obligāta, apstrādājot datus ar augstu risku

DPIA — datu aizsardzības ietekmes novērtējums — ir obligāts, ja datu apstrāde, iespējams, rada augstu risku personu tiesībām un brīvībām, kuru dati tiek apstrādāti. Tas nav fiksēts darbību saraksts, kas visur ir tieši vienāds, bet novērtējums, kas sākas ar apstrādes būtību, apjomu, kontekstu un mērķi. Plašas mēroga jutīgu datu apstrāde, strukturēta un sistēmiska cilvēku uzraudzīšana publiski pieejamā vietā un apstrādes, kas noved pie automatizēti pieņemtiem lēmumiem ar nozīmīgām sekām, ir piemēri, kas bieži tiek minēti kā situācijas, kurās augsts risks ir ticams.

Parastajai pašnodarbinātai personai vai mazajam un vidējam uzņēmumam, kas uztur klientu datus, personāla datus vai grāmatvedības sistēmu, obligāts DPIA parasti nav aktuāls — šie apstrādes veidi parasti nav pietiekami plašas mēroga vai sistēmiski, lai tos klasificētu kā augstu risku. Tiklīdz tiek strādāts, piemēram, ar veselības datiem plašā mēroga, kamera uzraudzību publiskās vietās vai profilēšanu, kas ietekmē indivīdus, situācija mainās. Kam ir šaubas, vai apstrāde ietilpst šajā kategorijā, var šo novērtējumu labāk pamatot, pamatojoties uz to pašu pārskatu, kas tiek veidots arī par apstrādes datu reģistru — katrai apstrādei jau ir dokumentēts mērķis, apjoms un iesaistītie dati, un tas ir tieši informācija, kura nepieciešama riska novērtējumam.

Uz ko tas balstās: AVG 6. pants un uzraudzības iestāde

Pienākums veikt DPIA izriet no AVG un ir saistīts ar apstrādes tiesiskuma pamatu AVG 6. pantā: tikai tad, kad apstrādei jau ir noteikts tiesisks pamatojums, ir atbilstoša nākamā jautājuma par to, vai šī apstrāde rada augstu risku. Uzraudzības iestādes sniedz papildu norādi par to, kuras apstrādes praksē tiek uzskatītas par augstu risku; Nīderlandē to dara Personālo datu iestāde ar saviem sarakstiem un paskaidrojumiem, savukārt uzraudzības iestāde citā dalībvalstī var izmantot nedaudz atšķirīgu sarakstu — kas paliek vienāds visos gadījumos, ir pati regulā noteiktā norma, kas atšķiras, ir apstrādes veidus skarot attiecīgā nacionālā interpretācija. Kurš šaubās, vai viņa uzņēmumam apstrādes apjoma dēļ ir nepieciešams atsevišķs datu aizsardzības darbinieks, atrod sākumpunktu skaidrojumā par datu aizsardzības darbinieka pienākumu, jo šie divi jautājumi — DPIA un datu aizsardzības darbinieks — bieži saistīti ar vienu un to pašu apstrādes apjomu un riska novērtējumu.