DPIA ja tietosuojavaikutusten arviointi

DPIA (Data Protection Impact Assessment) on GDPR-asetuksen 35 artiklan mukainen jäsennelty prosessi sellaisten käsittelytoimien osalta, jotka aiheuttavat suuria riskejä yksilöiden henkilötiedoille. DPIA kuvaa käsittelyn luonteen, laajuuden, kontekstin ja tarkoitukset. arvioi toimenpiteiden tarpeellisuutta, oikeasuhteisuutta ja noudattamista; tunnistaa ja arvioi rekisteröityjen oikeuksiin ja vapauksiin kohdistuvia riskejä; ja täsmentää toimenpiteet kyseisten riskien käsittelemiseksi (turvatarkastukset, pseudonymisointi, tietojen minimointi, säilytysrajat). Tukevia resursseja ovat tietovirtakartat (miten henkilötiedot liikkuvat järjestelmien läpi ja rajojen yli), oikeutettujen etujen arvioinnit ja kolmannen osapuolen käsittelijöiden rekisterit.

GDPR-asetuksen 35 artiklan mukaan tietosuojaa koskevat tiedot ovat lakisääteisiä sellaisessa käsittelyssä, joka todennäköisesti aiheuttaa suuren riskin yksilöille – mukaan lukien järjestelmällinen profilointi, erityisten tietoluokkien laajamittainen käsittely ja julkisesti saatavilla olevien alueiden järjestelmällinen seuranta. Vaaditun DPIA:n suorittamatta jättäminen voi johtaa lakisääteisiin seuraamuksiin ja osoittaa vastuullisuuden puutetta – GDPR:n keskeinen periaate. Lainmukaisuuden lisäksi DPIA:t osoittavat sääntelyviranomaisille ja rekisteröidyille, että organisaatio on järjestelmällisesti huomioinut tietosuojariskejä ja puuttunut niihin. Myös EU:n ulkopuoliset tietosuojalait (Brasilian LGPD, Yhdistyneen kuningaskunnan GDPR, Kalifornian CPRA) ja vakuutusyhtiöt vaativat niitä yhä enemmän todisteena tietosuojariskin hallinnasta.

Täydelliset DPIA-raportit kattavat täydellisen arvioinnin – käsittelyn kuvauksen, tarpeellisuuden ja suhteellisuuden arvioinnin, riskien tunnistamisen, kuulemistiedot (tietosuojavastaavan ja tarvittaessa valvontaviranomaisen kanssa) ja lieventämistoimenpiteet. Tietovirtakartat ja -luettelot osoittavat, kuinka henkilötiedot liikkuvat järjestelmien läpi, rajojen yli ja käsittelijöiden välillä – ne tukevat käsittelytoimien kirjaamista (ROPA) ja tietoturvaloukkausten ilmoitusvalmiutta. Oikeutettujen etujen arvioinnit (LIA) ovat kolmiosaisia ​​arvioita, joita tarvitaan käsittelyyn perustuen oikeutettuun etuun GDPR:n artiklan 6(1) f) mukaisesti. Kolmannen osapuolen käsittelijöiden rekisterit seuraavat kaikkia tietojen käsittelijöitä ja alikäsittelijöitä, mukaan lukien tietojenkäsittelysopimuksen (DPA) tila, siirtomekanismit ja sijainti – joita tarvitaan jatkuvaan GDPR-vastuuseen.

DPIan-resurssit, tietovirtakartat ja prosessorirekisterit ladataan Sustaliumiin ja linkitetään asiaankuuluviin tietosuojakäytäntöihin. Tietosuojatodisteet liittyvät GDPR:n noudattamista koskeviin tietueisiin, rekisteröityjen oikeuksiin liittyviin menettelyihin ja rikkomusilmoitusprotokolliin. Sustalium seuraa DPIA-tarkistusaikatauluja – DPIA:t on tarkistettava, kun käsittelytoiminnot muuttuvat merkittävästi – ja merkitsee vanhenevat DPIA:t uudelleenarviointia varten. Prosessorirekisterit on linkitetty hankintatietueisiin, joten uudet prosessorin sitoumukset käynnistävät automaattisesti DPIA-tarkistusvaatimukset. Organisaatioille, jotka toimivat useilla lainkäyttöalueilla, Sustalium yhdistää tietosuojavaatimukset soveltuviin kansallisiin GDPR-toteutuksiin ja muihin tietosuojalakeihin.

GDPR on ensisijainen kehys – artikla 35 edellyttää tietoturvaa, artikla 30 edellyttää kirjaamista käsittelytoimista, artikla 32 edellyttää tallennettuja turvatoimenpiteitä ja artikla 33 edellyttää kirjattuja tietoturvaloukkausilmoitusmenettelyjä. EU:n tekoälylaki edellyttää DPIA:n kaltaisia ​​vaikutusten arviointeja korkean riskin tekoälyjärjestelmille. DORA vaatii ICT-riskinarviointeja, jotka ovat päällekkäisiä DPIA-tietojenkäsittelykartoituksen kanssa. Sähköisen viestinnän tietosuojadirektiivi edellyttää yksityisyyden arviointeja sähköisen viestinnän käsittelyssä. EU:n ulkopuolisilla tietosuojalailla, mukaan lukien Yhdistyneen kuningaskunnan GDPR, Brasilian LGPD, Kalifornian CPRA ja Kiinan PIPL, on kaikilla DPIA tai vastaavat vaatimukset. ISO 27701 (tietosuojatietojen hallinta) edellyttää kirjattuja tietosuojavaikutusten arviointiprosesseja.