DPIA, pilnībā sauktā datu aizsardzības ietekmes novērtējums, ir risku analīze, kuru jūs veicāt iepriekš, ja datu apstrāde, iespējams, nozīmē lielu risku cilvēkiem, kuru dati ir apstrādāti. Vispārīgā datu aizsardzības regula neprasa šo analīzi par katru apstrādi, bet konkrēti par apstrādi, kuri pēc to rakstura, apjoma, konteksta vai mērķa var būtiski ietekmēt — piemēram, liela mēroga uzraudzība, sistēmātiska profilēšana vai jūtīgu datu apstrāde, piemēram, veselības dati, liela mēroga apstrādē.
Vai jūsu uzņēmumam jāveic DPIA, ir atkarīgs no tā, ko jūs īsti darāt ar datiem, nevis no jūsu uzņēmuma lieluma. Pašnodarbinātais, kas nelielā mērogā uzstāda kameras veikalā, parasti nav pakļauts šim pienākumam; mazs vai vidējs uzņēmums, kas izmanto mākslīgā intelekta programmatūru, lai liela mēroga analizētu klientu uzvedību vai skrīnētu kandidātus, ātrāk nonāk obligātās DPIA zonā. Datu aizsardzības iestāde publicē sarakstu ar apstrādēm, kurām šī analīze pēc viņas vienmēr ir nepieciešama; šis saraksts ir labs sākumpunkts, lai noteiktu, vai jūsu situācija to ietver.
Kad tas ir attiecīgs mazajiem un vidējiem uzņēmumiem
Lielākā daļa mazo un vidējo uzņēmumu izvairās no formālas DPIA, vienkārši tāpēc, ka viņu apstrāde nav tāda mēroga vai risku līmeņa, kādu nozīmē Vispārīgā datu aizsardzības regula. Tomēr ir situācijas, kurās jautājums pēkšņi kļūst aktuāls: sejas atpazīšanas kameras uzraudzības ieviešana, jauna mākslīgā intelekta rīka izmantošana, kas automātiski pieņem lēmumus par klientiem vai darbiniekiem, vai esošas programmatūras paplašināšana, kurā jūs pēkšņi apstrādājat datus daudz lielākā mērogā nekā līdz šim.
Tāpēc DPIA nepieciešamību nosaka nevis nozare, bet jūsu darbības maiņa. HR nodaļa, kas pāriet uz komplektēšanas rīku ar automātisko CV skrīningu, ir ieteicams apsvērt, vai šī pāreja atbilst kritērijiem. Tas pats attiecas uz biroja vadītāju, kurš apsvēr jaunas SaaS programmatūras ieviešanu, kas seko apmeklētāju uzvedībai vietnē un to apvieno ar citiem datu avotiem.
Kas jāietver DPIA
DPIA sistēmiski apraksta, kas notiek: kādi dati tiek apstrādāti, ar kādu mērķi, pamatojoties uz kādu pamatu, un kas var piekļūt datiem. Tālāk analīze kartē riskus personām — kas var noriet greizi un cik liela ir iespējamība un ietekme. Pēdējā daļa ir pasākums: kādi tehniski vai organizatoriski soļi tiek veikti, lai samazinātu šos riskus, un vai pēc šiem pasākumiem paliek nenozīmīgs risks.
Šis pēdējais punkts ir svarīgs: ja DPIA parāda, ka pat pēc pasākumiem paliek augsts risks, Vispārīgā datu aizsardzības regula paredz, ka tas jāiesniedz uzraudzības iestādei pirms apstrādes sākuma. Tas ir izņēmums, nevis standarta solis, bet tas ir iemesls, kāpēc DPIA nav tas, ko jūs vēlāk aizpildāt.
Saistība ar apstrādes reģistru
DPIA nav izolēta no jūsu pārējās Vispārīgās datu aizsardzības regulas administrācijas. Apstrāde, kurai jūs veicat analīzi, arī jāieņem vietas zināšanu bankā, kur riski katrai apstrādei ir izstrādāti, lai būtu skaidrs, kuras apstrādes prasītu papildu uzmanību un kuras nē. Kurš jau ir sakārtojis apstrādes reģistru, bieži vien pats redz, kuras apstrādes mēroga vai jutības ziņā ir tuvāk DPIA slieksnim nekā citas.
Tas ir arī labs laiks pārskatīt ar šo apstrādi saistītās datu apstrādes līgumus: ārēja puse, kas apstrādā datus, kuriem jūs DPIA apsverat, bieži vien ir arī puse, kurā rodas lielākie riski, ja kaut kas noiet greizi. Tāpat kā iespējamā datu pārkāpuma gadījumā, ir lietderīgi iepriekš zināt, kur jūs stāvat, nevis vēlāk nākt klajā ar to, kas tieši bija norunāts.
Ko tad, ja jūs šaubāties
Robeža starp "DPIA iespējams nav nepieciešama" un "labāk vispirms analizēt" ne vienmēr ir skaidra, un GDPR šeit apzināti pielaiž vietas personīgai novērtējumam. Šaubās gadījumā ieteicams konsultēties ar Datu Pārvaldības Iestādes vadlīnijām vai lūgt juristam apskatīt jūsu konkrēto situāciju. Šī lapa apraksta vispārīgo principu no Regulātes; tā nav šī padomu aizstājējs.
Vēlaties vispirms iegūt priekšstatu par to, kā jūsu paša apstrādes atbilst GDPR lietotajam riska novērtējumam? Veiciet bezmaksas ātro pārbaudi vai pārlūkojiet bieži uzdotus jautājumus par reģistru un tā uzraudzību lai redzētu, kura darbība jūsu uzņēmumam ir visvairāk piemērota.