DPIA, v celoti ocena učinka na varstvo podatkov, je ocena tveganja, ki jo izvedete vnaprej, kadar je obdelava osebnih podatkov verjetno povezana z visokim tveganjem za ljudi, katerih podatki so obdelani. Regulacija ne predvideva te ocene pri vsaki obdelavi, temveč posebej pri obdelavah, ki lahko zaradi svoje narave, obsega, konteksta ali cilja vplivajo na velike razmere — pomislite na obsežno spremljanje, sistematsko profiliranje ali obdelavo posebnih kategorij podatkov, kot so podatki o zdravju, na velike razmere.
Ali mora vaše podjetje izvesti DPIA, je odvisno od tega, kaj točno počnete s podatki, ne od velikosti vašega podjetja. Samostojni podjetnik, ki v manjšem obsegu namesti kamere v trgovino, običajno ne spada v to obveznost; malo ali srednje veliko podjetje, ki s programsko opremo umetne inteligence na velike razmere analizira vedenje strank ali presejuje kandidate, je prej v situaciji, ko je DPIA obvezna. Urad za varstvo podatkov objavlja seznam obdelav, pri katerih je ta analiza po njegovem mnenju vedno potrebna; ta seznam je dobra izhodišče za ugotavljanje, ali vaša situacija spada v to.
Kdaj je to relevantno za mala in srednja podjetja
Večina malih in srednjih podjetij se izogne formalni DPIA, preprosto zato, ker njihove obdelave nimajo obsega ali stopnje tveganja, ki jo ima v mislih Regulacija. Kljub temu obstajajo situacije, v katerih postane vprašanje nenadoma relevantno: uvedba videoznadzora s prepoznavanjem obraza, uporaba novega orodja umetne inteligence, ki avtomatsko sprejema odločitve o strankah ali zaposlenih, ali razširitev obstoječe programske opreme, s katero naenkrat zbirate podatke na veliko večjim obsegu kot do sedaj.
Zato ni toliko sektor, ki določa, ali je DPIA potrebna, temveč sprememba v tem, kar počnete. Oddelek za človeške vire, ki preide na orodje za zaposlitvene postopke s samodejnim presejanjem curriculum vitae, bi se moral vprašati, ali ta prehod spada pod merila. Enako velja za upravitelja pisarne, ki razmišlja o uvedbi novega orodja programske opreme kot storitve, ki spremlja vedenje obiskovalcev na spletnem mestu in ga kombinira z drugimi viri podatkov.
Kaj bi moralo biti vključeno v DPIO
DPIA sistematično opisuje, kaj se zgodi: kateri podatki so obdelani, s kakšnim namenom, na podlagi katere pravne osnove, in kdo ima dostop do podatkov. Nato analiza preuči tveganja za érice — kaj se lahko zmoti in kakšna je verjetnost in vpliv tega. Zadnji del je ukrep: kateri tehnični ali organizacijski koraki se sprejmejo za zmanjšanje teh tveganj, in ali po teh ukrepih ostane tveganje, ki ga ni mogoče odpraviti.
Ta zadnja točka je pomembna: če DPIA pokaže, da obstaja tudi po ukrepih visoko tveganje, Regulacija predvideva, da to predložite nadzornemu organu, preden začnete obdelavo. To je izjema, ne standarden korak, vendar je to razlog, zakaj DPIA ni nekaj, kar bi lahko naknadno izpolnili.
Povezava z registrom obdelav
DPIA ni ločena od ostale vaše dokumentacije v skladu z Regulacijo. Obdelava, za katero izvajate analizo, bi morala dobiti mesto v Knowledge Banku, kjer so tveganja za vsako obdelavo razdelana, da ostane jasno, katere obdelave potrebujejo dodatno pozornost in katere ne. Tisti, ki ima register obdelav že v redu, pogosto sam vidi, katere obdelave so po obsegu ali občutljivosti bližje praganju DPIA kot druge.
Prav je tudi dober trenutek za preverjanje pogodb o obdelavi podatkov, ki jih imate pri tej obdelavi: zunanji subjekt, ki obdeluje podatke, za katere razmišljate o DPIA, je pogosto tudi tista stranka, pri kateri nastanejo največja tveganja, če kaj gre narobe. Tako kot v primeru morebitnega varnostnega incidenta je koristno vnaprej vedeti, kako ste postavljeni, namesto da bi morali pozneje ugotoviti, kaj je natančno dogovorjeno.
Kaj če dvomite
Meja med »verjetno DPIA ni potrebna« in »bolje je najprej analizirati« ni vedno jasna, in splošna uredba namerno pusti prostor za lastno presojo. V primeru dvoma je priporočljivo posvetovati se z smernicami Urada za varstvo podatkov ali vprašati pravnika, da si ogleda vašo specifično situacijo. Ta stran opisuje splošno linijo iz uredbe; ni nadomestek za to nasvet.
Ali želite najprej dobiti predstavo o tem, kako se vaše lastne obdelave nanašajo na oceno tveganja, ki jo uporablja splošna uredba? Opravite brezplačno hitro preverjanje ali se pobrskajte skozi pogosto zastavljena vprašanja o registru in njegovem spremljanju da vidite, kateri korak je za vaše podjetje najbolj primeren.