DPIA a posouzení dopadu na soukromí

Posouzení dopadu na ochranu osobních údajů (DPIA) je strukturovaný proces požadovaný podle článku 35 GDPR pro činnosti zpracování, které představují vysoká rizika pro osobní údaje jednotlivců. DPIA zachycuje povahu, rozsah, kontext a účely zpracování; posuzuje nezbytnost, přiměřenost a opatření shody; zjišťuje a vyhodnocuje rizika pro práva a svobody subjektů údajů; a specifikuje opatření k řešení těchto rizik (bezpečnostní kontroly, pseudonymizace, minimalizace údajů, limity uchovávání). Mezi podpůrná aktiva patří mapy toku dat (jak se osobní údaje pohybují v systémech a přes hranice), posouzení oprávněných zájmů a registry zpracovatelů třetích stran.

DPIA jsou ze zákona vyžadovány podle článku 35 GDPR pro zpracování, které pravděpodobně povede k vysokému riziku pro jednotlivce – včetně systematického profilování, rozsáhlého zpracování zvláštních kategorií údajů a systematického monitorování veřejně přístupných oblastí. Neprovedení požadovaného DPIA může mít za následek regulační sankce a prokazuje nedostatek odpovědnosti – klíčový princip GDPR. Kromě souladu s právními předpisy prokazují DPIA regulačním orgánům a subjektům údajů, že organizace systematicky zvažuje a řeší rizika ochrany soukromí. Stále častěji je také vyžadují zákony na ochranu soukromí mimo EU (brazilské LGPD, UK GDPR, Kalifornie CPRA) a poskytovatelé pojištění jako důkaz řízení rizik ochrany soukromí.

Úplné zprávy DPIA pokrývají kompletní posouzení – popis zpracování, posouzení nezbytnosti a proporcionality, identifikaci rizik, záznamy o konzultacích (s pověřencem pro ochranu údajů a v případě potřeby s dozorovým orgánem) a opatřeními ke zmírnění. Mapy datových toků a soupisy ukazují, jak se osobní údaje pohybují mezi systémy, přes hranice a mezi zpracovateli – podporují záznamy o činnostech zpracování (ROPA) a připravenost na oznámení o narušení. Posouzení oprávněného zájmu (LIA) jsou třídílná posouzení potřebná pro zpracování, která se opírají o oprávněný zájem jako zákonný základ podle čl. 6 odst. 1 písm. f) GDPR. Registry zpracovatelů třetích stran sledují všechny zpracovatele dat a dílčí zpracovatele, včetně stavu smlouvy o zpracování dat (DPA), mechanismů přenosu a umístění – potřebné pro průběžnou odpovědnost GDPR.

Aktiva DPIan, mapy toku dat a registry procesorů jsou nahrány do Sustalium a propojeny s příslušnými rámci pro dodržování zásad ochrany osobních údajů. Důkazy o ochraně osobních údajů se propojují se záznamy o souladu s GDPR, postupy pro práva subjektů údajů a protokoly pro oznamování porušení. Sustalium sleduje harmonogramy přezkoumání DPIA – DPIA musí být přezkoumány, když se operace zpracování výrazně změní – a označí vypršení platnosti DPIA k přehodnocení. Registry zpracovatelů jsou propojeny se záznamy o nákupu, takže nové zakázky zpracovatelů automaticky spouštějí požadavky na kontrolu DPIA. Pro organizace působící v různých jurisdikcích mapuje Sustalium požadavky na dodržování ochrany osobních údajů na příslušné národní implementace GDPR a dalších zákonů na ochranu soukromí.

GDPR je primární rámec – článek 35 vyžaduje DPIA, článek 30 vyžaduje záznamy o činnostech zpracování, článek 32 vyžaduje zaznamenaná bezpečnostní opatření a článek 33 vyžaduje zaznamenané postupy oznamování narušení. Zákon EU o umělé inteligenci vyžaduje u vysoce rizikových systémů umělé inteligence posouzení dopadu podobná DPIA. DORA vyžaduje hodnocení rizik ICT, která se překrývají s mapováním zpracování dat DPIA. Směrnice o soukromí a elektronických komunikacích vyžaduje posouzení soukromí pro zpracování elektronických komunikací. Zákony na ochranu soukromí mimo EU, včetně britského GDPR, brazilského LGPD, kalifornského CPRA a čínského PIPL mají DPIA nebo ekvivalentní požadavky. ISO 27701 (správa informací o soukromí) vyžaduje zaznamenané procesy hodnocení dopadu na soukromí.