DPIA и оценка на въздействието върху поверителността

Оценката на въздействието върху защитата на данните (DPIA) е структуриран процес, изискван съгласно член 35 от GDPR за обработване на дейности, които представляват висок риск за личните данни на лицата. DPIA улавя естеството, обхвата, контекста и целите на обработката; оценява необходимостта, пропорционалността и мерките за съответствие; идентифицира и оценява рисковете за правата и свободите на субектите на данни; и уточнява мерките за справяне с тези рискове (контрол на сигурността, псевдонимизация, минимизиране на данните, лимити на задържане). Поддържащите активи включват карти на потока от данни (как личните данни се движат през системите и през границите), оценки на легитимен интерес и регистри на процесори на трети страни.

DPIA са законово задължителни съгласно член 35 от GDPR за обработка, която е вероятно да доведе до висок риск за лицата — включително систематично профилиране, широкомащабна обработка на специални категории данни и систематично наблюдение на обществено достъпни зони. Неизвършването на необходимата DPIA може да доведе до регулаторни санкции и демонстрира липса на отчетност – ключов принцип на GDPR. Освен законовото съответствие, DPIA демонстрират на регулаторите и субектите на данни, че организацията систематично е разглеждала и адресирала рисковете за поверителността. Те също се изискват все повече от законите за поверителност извън ЕС (Бразилски LGPD, GDPR на Обединеното кралство, Калифорния CPRA) и от доставчиците на застрахователни услуги като доказателство за управление на риска за поверителността.

Пълните доклади за DPIA обхващат пълната оценка — описание на обработката, оценка на необходимостта и пропорционалността, идентифициране на риска, записи за консултации (със служител по защита на данните и, когато е необходимо, надзорен орган) и мерки за смекчаване. Картите и описите на потоците от данни показват как личните данни се движат през системите, през границите и между процесорите – поддържайки записи на дейности по обработка (ROPA) и готовност за уведомяване за нарушения. Оценките на легитимен интерес (LIA) са оценки от три части, необходими за обработката, разчитащи на легитимен интерес като законно основание съгласно член 6, параграф 1, буква е) от GDPR. Регистрите на процесорите на трети страни проследяват всички процесори и подпроцесори на данни, включително статус на споразумение за обработка на данни (DPA), механизми за прехвърляне и местоположение — необходими за текущата отчетност по GDPR.

Активите на DPIan, картите на потока от данни и регистрите на процесорите се качват в Sustalium и се свързват със съответните рамки за спазване на поверителността. Доказателствата за поверителност се свързват със записи за съответствие с GDPR, процедури за правата на субектите на данни и протоколи за уведомяване за нарушения. Sustalium проследява графиците за преглед на DPIA — DPIA трябва да се преразглеждат, когато операциите по обработка се променят значително — и отбелязва изтичащите DPIA за повторна оценка. Регистрите на процесорите са свързани със записите за доставки, така че новите ангажименти на процесори автоматично да задействат изискванията за преглед на DPIA. За организации, работещи в множество юрисдикции, Sustalium картографира изискванията за спазване на поверителността към приложимите национални приложения на GDPR и други закони за поверителност.

GDPR е основната рамка — член 35 изисква DPIA, член 30 изисква записи на дейностите по обработка, член 32 изисква записани мерки за сигурност, а член 33 изисква записани процедури за уведомяване за нарушение. Законът за ИИ на ЕС изисква оценки на въздействието, подобни на DPIA, за високорискови системи с ИИ. DORA изисква оценки на риска от ИКТ, които се припокриват с картографирането на обработката на данни DPIA. Директивата за неприкосновеността на личния живот и електронните комуникации изисква оценки за поверителност при обработката на електронни съобщения. Законите за поверителност извън ЕС, включително GDPR на Обединеното кралство, LGPD на Бразилия, CPRA на Калифорния и PIPL на Китай, всички имат DPIA или еквивалентни изисквания. ISO 27701 (управление на информацията за поверителност) изисква записани процеси за оценка на въздействието върху поверителността.