când sunt obligat să efectuez o evaluare a impactului asupra protecției datelor

O DPIA este obligatorie la prelucrarea cu risc ridicat

O DPIA — o evaluare a impactului asupra protecției datelor — este obligatorie atunci când o prelucrare va genera probabil un risc ridicat pentru drepturile și libertățile persoanelor ale căror date sunt prelucrate. Nu este vorba despre o listă fixă de activități care sunt exact la fel peste tot, ci despre o evaluare care ține cont de natura, amploarea, contextul și scopul prelucrării. Prelucrarea pe scară largă a datelor sensibile, supravegherea structurală și sistematică a persoanelor într-un loc accesibil publicului, și prelucrările care duc la decizii automate cu consecințe semnificative, sunt exemple care sunt adesea citate ca situații în care un risc ridicat este probabil.

Pentru o persoană fizică care lucrează pe cont propriu sau o întreprindere mică sau medie obișnuită care ține evidente cu date despre clienți, date despre angajați sau un sistem de contabilitate, o DPIA obligatorie de obicei nu se pune — aceste prelucrări nu sunt, de regulă, suficient de mari sau suficient de sistematice pentru a fi considerate risc ridicat. Imediat ce se lucrează, de exemplu, cu date de sănătate la scară mai mare, supravegherea prin cameră a spațiilor publice, sau profilare care are consecințe pentru indivizi, imaginea se schimbă. Cine nu este sigur dacă o prelucrare se încadrează în acea categorie, poate motiva cel mai bine acea evaluare pe baza acelui același registru care este construit și pentru registrul de prelucrări este deja înregistrat pentru fiecare prelucrare scopul, amploarea și datele implicate, iar aceasta este exact informația pe care o evaluare a riscului o necesită.

Pe ce se bazează: articolul 6 din GDPR și autoritatea de supraveghere

Obligația de a efectua o DPIA decurge din GDPR și este legată de baza legală a articolului 6 din GDPR: doar dacă o bază legală pentru prelucrare a fost deja stabilită, următoarea întrebare este relevantă — dacă acea prelucrare prezintă și un risc ridicat. Autoritățile de supraveghere oferă în continuare lămuriri despre care prelucrări sunt în practică considerate risc ridicat; în Olanda, Autoritatea pentru Protecția Datelor face acest lucru cu liste și explicații proprii, în timp ce autoritatea de supraveghere dintr-un alt stat membru poate folosi o listă ușor diferită — ceea ce rămâne același peste tot este standardul din regulament în sine, ceea ce diferă este interpretarea națională a prelucrărilor care se încadrează — dacă întreprinderea dumneavoastră are nevoie, din cauza amploarei prelucrării, de un responsabil dedicat cu protecția datelor, va găsi un punct de sprijin în explicația privind obligația numirilor responsabilului cu protecția datelor, pentru că acele două întrebări — DPIA și responsabil cu protecția datelor — sunt adesea legate de aceeași amploare și aceeași evaluare a riscului al prelucrării.