DPIA ja privaatsuse mõju hindamine

Andmekaitsemõju hindamine (DPIA) on GDPR artikli 35 kohaselt nõutav struktureeritud protsess töötlemistoimingute jaoks, mis kujutavad endast suurt ohtu üksikisikute isikuandmetele. DPIA kajastab töötlemise olemust, ulatust, konteksti ja eesmärke; hindab vajalikkust, proportsionaalsust ja vastavusmeetmeid; tuvastab ja hindab riske andmesubjektide õigustele ja vabadustele; ja täpsustab meetmed nende riskide käsitlemiseks (turvakontroll, pseudonüümiseerimine, andmete minimeerimine, säilitamispiirangud). Toetavate varade hulka kuuluvad andmevoo kaardid (kuidas isikuandmed liiguvad läbi süsteemide ja piirideüleselt), õigustatud huvide hinnangud ja kolmandate isikute töötlejate registrid.

DPIAd on GDPR artikli 35 kohaselt juriidiliselt nõutavad töötlemiseks, mis võib põhjustada üksikisikutele suurt ohtu, sealhulgas süstemaatiline profiilide koostamine, erikategooriate andmete laiaulatuslik töötlemine ja avalikult juurdepääsetavate alade süstemaatiline jälgimine. Nõutava DPIA läbiviimata jätmine võib kaasa tuua regulatiivsed karistused ja näitab vastutuse puudumist – see on GDPRi põhiprintsiip. Lisaks juriidilistele nõuetele näitavad DPIAd reguleerivatele asutustele ja andmesubjektidele, et organisatsioon on privaatsusriske süstemaatiliselt arvestanud ja nendega tegelenud. Neid nõuavad üha enam ka ELi-välised privaatsusseadused (Brasiilia LGPD, Ühendkuningriigi GDPR, California CPRA) ja kindlustuspakkujad privaatsusriski juhtimise tõendina.

Täielikud DPIA aruanded hõlmavad täielikku hindamist – töötlemise kirjeldust, vajalikkuse ja proportsionaalsuse hindamist, riskide tuvastamist, konsultatsioonidokumente (andmekaitseametniku ja vajaduse korral järelevalveasutusega) ja leevendusmeetmeid. Andmevoo kaardid ja inventuurid näitavad, kuidas isikuandmed liiguvad läbi süsteemide, piiriüleselt ja töötlejate vahel – toetades töötlemistoimingute kirjeid (ROPA) ja rikkumistest teatamise valmisolekut. Õigustatud huvide hinnangud (LIA-d) on töötlemiseks nõutavad kolmeosalised hinnangud, mis tuginevad õigustatud huvile kui seaduslikule alusele GDPR artikli 6 lõike 1 punkti f kohaselt. Kolmandate osapoolte töötlejate registrid jälgivad kõiki andmetöötlejaid ja alamtöötlejaid, sealhulgas andmetöötluslepingu (DPA) olekut, edastusmehhanisme ja asukohta – see on vajalik GDPR-i pidevaks aruandluseks.

DPIan-varad, andmevookaardid ja protsessorite registrid laaditakse Sustaliumi üles ja lingitakse asjakohaste privaatsuse järgimise raamistikega. Privaatsustõendid ühendavad GDPR-i järgimise kirjeid, andmesubjekti õiguste menetlusi ja rikkumiste teatamise protokolle. Sustalium jälgib DPIA läbivaatamise ajakavasid – DPIAd tuleb üle vaadata, kui töötlemistoimingud oluliselt muutuvad – ja märgib aeguvad DPIA-d ümberhindamiseks. Protsessori registrid on lingitud hankekirjetega, nii et uued töötleja kaasamised käivitavad automaatselt DPIA ülevaatuse nõuded. Organisatsioonide jaoks, mis tegutsevad mitmes jurisdiktsioonis, seostab Sustalium privaatsusnõuete järgimise GDPR-i ja muude privaatsusseaduste kohaldatavate riiklike rakendustega.

GDPR on esmane raamistik – artikkel 35 nõuab DPIA-sid, artikkel 30 töötlemistoimingute dokumente, artikkel 32 nõuab registreeritud turvameetmeid ja artikkel 33 nõuab registreeritud rikkumistest teatamise protseduure. EL-i tehisintellekti seadus nõuab kõrge riskiga tehisintellektisüsteemide puhul DPIA-laadset mõju hindamist. DORA nõuab IKT riskianalüüse, mis kattuvad DPIA andmetöötluse kaardistamisega. E-eraelu direktiiv nõuab elektroonilise side töötlemisel eraelu puutumatuse hindamist. ELi-välistel privaatsusseadustel, sh Ühendkuningriigi GDPR, Brasiilia LGPD, California CPRA ja Hiina PIPL, kehtivad DPIA või samaväärsed nõuded. ISO 27701 (privaatsuse teabe haldamine) nõuab salvestatud privaatsuse mõju hindamise protsesse.