O EIVPD, expresia completă fiind evaluare impactului asupra protecției datelor, este o analiză a riscurilor pe care o realizați în prealabil atunci când o prelucrare de date personale riscă probabil să comporte riscuri mari pentru persoanele ale căror date sunt vizate. GDPR nu obligă la această analiză în cazul fiecărei prelucrări, ci în mod specific în cazul prelucrărilor care, prin natura lor, amploare, context sau scop, pot avea impact semnificativ — gândiți-vă la monitorizarea la scară largă, profilarea sistematică sau prelucrarea datelor sensibile, cum ar fi datele de sănătate, la scară largă.
Dacă trebuie ca afacerea dumneavoastră să realizeze o EIVPD depinde de ceea ce faceți exact cu datele, nu de dimensiunea afacerii dumneavoastră. Un profesionist independent care instalează camere pe scară mică într-un magazin scapă de obicei de această obligație; o afacere mică care utilizează software AI pe scară largă pentru a analiza comportamentul clienților sau pentru a evalua solicitanții se află mai repede în situația unei EIVPD obligatorii. Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal publică o listă cu prelucrări pentru care această analiză este întotdeauna necesară, conform acesteia; această listă este un bun punct de plecare pentru a determina dacă situația dumneavoastră se regăsește pe ea.
Când se aplică aceasta pentru IMM
Majoritatea afacerilor mici scapă de o EIVPD formală, pur și simplu pentru că prelucrările lor nu au amploarea sau nivelul de risc pe care GDPR-ul îl prevede. Cu toate acestea, există situații în care întrebarea devine relevantă: introducerea supravegheturii prin camere cu recunoaștere facială, utilizarea unui nou instrument AI care ia decizii automate cu privire la clienți sau angajați, sau o extindere a software-ului existent prin care colectați brusc gegevens la o scară mult mai largă decât înainte.
Prin urmare, nu sectorul determină dacă o EIVPD este necesară, ci schimbarea în ceea ce faceți. Un departament de resurse umane care trece la un instrument de recrutare cu o ofertă de screening automat a CV-urilor face bine să se întrebe dacă această tranziție se încadrează în criterii. Același lucru este valabil pentru un manager de birou care ia în considerare implementarea unui nou instrument SaaS care urmărește comportamentul vizitatorilor site-ului și îl combină cu alte surse de date.
Ce ar trebui să conțină o EIVPD
O EIVPD descrie sistematic ce se întâmplă: ce date sunt prelucrate, în ce scop, pe baza cărei baze juridice, și cine poate accesa datele. Analiza mapeaza apoi riscurile pentru persoane fizice — ce poate merge greșit și cât de mare este probabilitatea și impactul acesteia. Partea finală constă din măsuri: ce pași tehnici sau organizatoriali sunt luați pentru a reduce aceste riscuri, și rămâne încă un risc după aceste măsuri care nu poate fi eliminat.
Acest ultim punct este important: dacă o EIVPD arată că există și după măsuri un risc ridicat persistent, GDPR prevede că trebuie să îl prezentați autorității de supraveghere înainte de a începe prelucrarea. Aceasta este o excepție, nu un pas standard, dar aceasta este motivul pentru care o EIVPD nu este ceva pe care îl completați post-factum.
Relația cu registrul prelucrărilor
O EIVPD nu este izolată de restul administrației dumneavoastră GDPR. Prelucrarea pentru care realizați analiza ar trebui să aibă și un loc în biblioteca de cunoștințe în care riscurile sunt detaliate pe prelucrare, pentru a rămâne clar ce prelucrări necesită atenție suplimentară și care nu. Oricine și-a pus deja registrul prelucrărilor în ordine vede adesea de la sine ce prelucrări în ceea ce privește amploarea sau sensibilitatea se apropie mai mult de pragul EIVPD decât altele.
Este, de asemenea, un moment bun pentru a verifica din nou acordurile cu procesatorii care sunt legate de această prelucrare: o parte externă care prelucrează datele pentru care contemplați o DPIA este adesea și partea în care apar cele mai mari riscuri dacă ceva merge rău. La fel ca în cazul unei posibile încălcări a datelor, este util să știți din timp cum stă situația dumneavoastră, în loc să trebuie să aflați după aceea exact ce a fost convenit.
Ce se întâmplă dacă aveți îndoieli
Linia de demarcație între "probabil nu este necesară DPIA" și "mai bine analizați mai întâi" nu este întotdeauna clară, iar RGPD lasă intenționat spațiu pentru propria evaluare. În caz de îndoiala, este recomandabil să consultați liniile directoare ale Autorității pentru Protecția Datelor sau să cereți unui jurist să examine situația dvs. specifică. Această pagină descrie linia generală din regulament; nu înlocuiește acel sfat.
Doriți să obțineți mai întâi o impresie despre modul în care prelucările dvs. se raportează la evaluarea riscului pe care o aplică RGPD? Efectuați scanarea rapidă gratuită sau răsfoiți întrebări frecvente despre registru și monitorizarea acestuia pentru a vedea care pas este cel mai potrivit pentru întreprinderea dvs.