DPIA, úplne označovaná ako posúdenie vplyvu na ochranu údajov, je analýza rizík, ktorú vykonáte vopred, keď spracovanie osobných údajov s vysokou pravdepodobnosťou prináša vysoké riziko pre ľudí, ktorých sa údaje týkajú. GDPR neukladá túto analýzu pri každom spracovaní, ale konkrétne pri spracovaniach, ktoré môžu mať na základe svojej povahy, rozsahu, kontextu alebo účelu veľký vplyv — myslite na rozsiahlé monitorovanie, systematické profilovanie alebo spracovanie citlivých údajov, ako sú údaje o zdraví vo veľkom rozsahu.
To, či musí vaša spoločnosť vykonať DPIA, závisí od toho, čo presne robíte s údajmi, nie od veľkosti vašej spoločnosti. Osoba pracujúca na vlastný účet, ktorá na malom meradle inštaluje kamery v predajni, zvyčajne spadá mimo táto povinnosť; malý alebo stredný podnik, ktorý prostredníctvom softvéru na umelú inteligenciu v rozsiahlom rozsahu analyzuje správanie zákazníkov alebo skrínuje uchádzačov, sa skôr dostane do pokiaľa povinnej DPIA. Úrad na ochranu osobných údajov zverejňuje zoznam spracovaní, pri ktorých je táto analýza podľa neho vždy potrebná; tento zoznam je dobrým východzím bodom na určenie, či sa vaša situácia tam nachádza.
Kedy sa to vzťahuje na malé a stredné podniky
Väčšina malých a stredných podnikov sa vyhne formálnej DPIA jednoducho preto, že ich spracovanie nemá rozsah ani úroveň rizika, ktoré má na mysli GDPR. Napriek tomu existujú situácie, v ktorých sa otázka zrazu stáva relevantnou: zavedenie dohľadu pomocou kamier s rozpoznávaním tváre, používanie nového nástroja na umelú inteligenciu, ktorý automaticky rozhoduje o zákazníkoch alebo zamestnancoch, alebo rozšírenie existujúceho softvéru, prostredníctvom ktorého zrazu zbieraš údaje na oveľa väčší rozsah než predtým.
Ide teda skôr o zmenu v tom, čo robíte, nie o sektor, ktorý určuje, či je DPIA potrebná. Oddelenie ľudských zdrojov, ktoré prechádzajú na nástroj na nábor s automatizovanou analýzou životopisov, by mali zvážiť, či tento prechod spadá do kritérií. To isté platí pre vedúceho kancelárie, ktorý zvažuje zavedenie nového SaaS nástroja, ktorý sleduje správanie návštevníkov webovej stránky a kombinuje to s inými zdrojmi údajov.
Čo by sa malo nachádzať v DPIA
DPIA systematicky opisuje, čo sa deje: ktoré údaje sa spracúvajú, na aký účel, na akom základe a kto má prístup k údajom. Ďalej analýza mapuje riziká pre dotknuté osoby — čo sa môže pokaziť a aká je pravdepodobnosť a rozsah toho rizika. Posledná časť sú opatrenia: aké technické alebo organizačné kroky sa prijmú na zmenšenie týchto rizík a či po týchto opatreniach zostane riziko, ktoré sa nedá odstrániť.
Posledný bod je dôležitý: ak DPIA zistí, že vysoké riziko zostane aj po opatreniach, GDPR predpisuje, že to musíte predložiť dohľadnému orgánu skôr, ako začnete so spracovaním. To je výnimka, nie štandardný krok, ale je to dôvod, prečo DPIA nie je niečo, čo vyplníte spätočne.
Vzťah k registru činností spracovateľa
DPIA nie je samostatná od zvyšku vašej administratívy podľa GDPR. Spracovanie, pre ktoré analýzu vykonávate, by malo mať miesto v poznatkovej báze, kde sú riziká spracovateľa rozpracované, takže zostane jasné, ktoré spracovateľa vyžadujú dodatočnú pozornosť a ktoré nie. Kto si už register činností spracovateľa usporiada, často vidí sám, ktoré spracovateľa podľa rozsahu alebo citlivosti sú bližšie k hranici DPIA ako ostatné.
Je tiež dobrý čas skontrolovať dohody s spracovateľmi, ktoré patria k tejto spracovateľskej činnosti: externá strana, ktorá spracováva údaje, pre ktoré zvažujete DPIA, je často tou stranou, kde vznikajú najväčšie riziká, ak sa niečo pokazí. Rovnako ako pri možnom porušení bezpečnosti údajov je užitočné vedieť vopred, v akej situácii sa nachádzate, namiesto toho, aby ste sa neskôr museli zisťovať, čo bolo presne dohodnuté.
Čo ak máte pochybnosti
Hranica medzi "pravdepodobne nie je potrebná DPIA" a "lepšie najprv analyzovať" nie je vždy ostrá a nariadenie o ochrane údajov tu zámerne ponecháva priestor na vlastné posúdenie. V prípade pochybností je vhodné obrátiť sa na usmernenia Úradu na ochranu osobných údajov alebo požiadať právnika, aby sa pozrel na vašu konkrétnu situáciu. Táto stránka opisuje všeobecnú líniu z nariadenia; nie je náhradou za to poradenstvo.
Chcete si najprv urobiť predstavu o tom, ako sa vaše vlastné spracovateľské činnosti vzťahujú k odhadu rizika, ktorý používa nariadenie o ochrane údajov? Vykonajte bezplatnú rýchlu kontrolu alebo prelistujte často kladené otázky o registri a jeho monitorovaní aby ste videli, ktorý krok je pre vašu firmu najvhodnejší.