kdaj sem dolžan izvesti oceno vpliva na zaščito podatkov

DPIA je obvezna pri obdelavi z visoko tveganjem

DPIA — presoja učinka na varstvo podatkov — je obvezna, kadar obdelava podatkov verjetno predstavlja visoko tveganje za pravice in svoboščine oseb, katerih podatke obdelujete. To ni fiksna lista dejavnosti, ki bi veljala povsod enako, temveč ocena, ki se začne z naravo, obsegom, kontekstom in namenom obdelave. Obsežna obdelava občutljivih podatkov, strukturirano in sistematično spremljanje oseb na javno dostopnem mestu ter obdelave, ki vodijo do avtomatiziranih odločitev s precejšnjimi posledicami, so primeri, ki se pogosto omenjajo kot situacije, v katerih je visoko tveganje verjetno.

Za običajnega samostojnega podjetnika ali mala in srednja podjetja, ki vzdržujejo podatke strank, podatke zaposlenih ali računovodski sistem, obvezna DPIA običajno ni nakazana — take obdelave običajno niso obsežne ali sistematične dovolj, da bi bile ocenjene kot visoko tveganje. Takoj ko se dela na primer z zdravstvenimi podatki v večjem obsegu, video nadzorom javnih prostorov ali profiliranjem, ki ima posledice za posameznike, se slika spremeni. Tisti, ki je negotov, ali obdelava spada v to kategorijo, lahko to oceno najbolje utemelji na podlagi istega pregleda, ki se gradi tudi za register obdelav podatkov je torej že za vsako obdelavo dokumentirano, kaj je njen namen, obseg in katere podatke vključuje, in to je natanko informacija, ki jo potrebuje ocena tveganja.

Kaj je to podlago: člen 6 GDPR in nadzorni organ

Obveza izvajanja DPIA izhaja iz GDPR in je povezana s pravno osnovo obdelave iz člena 6 GDPR: šele ko je že ugotovljena pravna osnova za obdelavo, je smiselno nadaljnje vprašanje, ali ta obdelava predstavlja tudi visoko tveganje. Nadzorni organi pri tem podajo dodatna pojasnila, katere obdelave v praksi veljajo za visoko tveganje; v Nizozemski to počne Urad za varstvo podatkov z lastnimi seznami in razlagami, medtem ko lahko nadzorni organ v drugi državi članici uporablja nekoliko drugačen seznam — kar povsod ostane enako, je norma iz same uredbe, kar se razlikuje, je državna razlaga, katere obdelave spadajo pod njo. Tisti, ki se sprašuje, ali mora njegovo podjetje glede na obseg obdelave imeti posebnega poverjenika za varstvo podatkov, najde nagovor v razlagi o obvezi imenovanja poverjenika za varstvo podatkov, saj sta ti dve vprašanji — DPIA in poverjenec — pogosto povezani z istim obsegom in oceno tveganja obdelave.