DPIA והערכת ההשפעה על הפרטיות

הערכת השפעה על הגנת מידע (DPIA) היא תהליך מובנה הנדרש על פי סעיף GDPR סעיף 35 לעיבוד פעילויות המהוות סיכונים גבוהים לנתונים האישיים של אנשים. DPIA לוכד את אופי, היקף, הקשר ומטרות העיבוד; מעריך אמצעי נחיצות, מידתיות וציות; מזהה ומעריך סיכונים לזכויות וחירויות של נושאי מידע; ומפרט אמצעים לטיפול בסיכונים אלה (בקרות אבטחה, פסאודונימיזציה, מזעור נתונים, מגבלות שמירה). נכסים תומכים כוללים מפות זרימת נתונים (איך נתונים אישיים עוברים במערכות וחוצה גבולות), הערכות אינטרסים לגיטימיים ורישום מעבדים של צד שלישי.

DPIAs נדרשים על פי חוק לפי סעיף 35 GDPR עבור עיבוד שעלול לגרום לסיכון גבוה לאנשים - כולל יצירת פרופילים שיטתיים, עיבוד בקנה מידה גדול של קטגוריות מיוחדות של נתונים וניטור שיטתי של אזורים נגישים לציבור. אי ביצוע DPIA נדרש יכול לגרום לעונשים רגולטוריים ולהמחיש חוסר אחריות - עיקרון GDPR מפתח. מעבר לציות לחוק, DPIAs מוכיחים לרגולטורים ולנושאי מידע שהארגון שקל באופן שיטתי וטיפל בסיכוני הפרטיות. הם גם נדרשים יותר ויותר על ידי חוקי הפרטיות שאינם באיחוד האירופי (LGPD ברזילאי, GDPR של בריטניה, קליפורניה CPRA) ועל ידי ספקי ביטוח כראיה לניהול סיכוני פרטיות.

דוחות DPIA מלאים מכסים את ההערכה המלאה - תיאור עיבוד, הערכת נחיצות ומידתיות, זיהוי סיכונים, רישומי התייעצות (עם קצין הגנת מידע, ובמידת הצורך, רשות הפיקוח), ואמצעי הפחתה. מפות ומלאי זרימת נתונים מראים כיצד נתונים אישיים עוברים דרך מערכות, מעבר לגבולות ובין מעבדים - תומכים ברשומות של פעילויות עיבוד (ROPA) ומוכנות להתראות על הפרה. הערכות אינטרסים לגיטימיים (LIA) הן הערכות תלת-חלקיות הנדרשות לעיבוד תוך הסתמכות על אינטרס לגיטימי כבסיס החוקי לפי סעיף GDPR סעיף 6(1)(ו). רישומי מעבדים של צד שלישי עוקבים אחר כל מעבדי הנתונים ומעבדי המשנה, כולל סטטוס הסכם עיבוד נתונים (DPA), מנגנוני העברה ומיקום - הנדרשים לצורך אחריות GDPR מתמשכת.

נכסי DPIan, מפות זרימת נתונים ואוגרי מעבד מועלים ל-Sustalium ומקושרים למסגרות התאימות לפרטיות הרלוונטיות. ראיות פרטיות מתחברות לרשומות תאימות ל-GDPR, נהלי זכויות נושא נתונים ופרוטוקולי הודעות על הפרה. Sustalium עוקבת אחר לוחות זמנים של סקירת DPIA - יש לבחון DPIAs כאשר פעולות העיבוד משתנות באופן משמעותי - ומסמנת DPIA שפג תוקפם לצורך הערכה מחדש. פנקסי המעבדים מקושרים לרשומות רכש כך שהתקשרויות מעבד חדשות מפעילות באופן אוטומטי דרישות סקירת DPIA. עבור ארגונים הפועלים על פני מספר תחומי שיפוט, Sustalium ממפה את דרישות תאימות הפרטיות ליישומו הלאומי הרלוונטי של GDPR וחוקי פרטיות אחרים.

GDPR היא המסגרת העיקרית - סעיף 35 מחייב DPIAs, סעיף 30 מחייב רשומות של פעילויות עיבוד, סעיף 32 מחייב אמצעי אבטחה מתועדים, וסעיף 33 מחייב הליכי הודעה על הפרה מתועדת. חוק הבינה המלאכותית של האיחוד האירופי דורש הערכות השפעה דמויות DPIA עבור מערכות בינה מלאכותית בסיכון גבוה. DORA דורשת הערכות סיכון ICT החופפות למיפוי עיבוד נתונים של DPIA. הוראת הפרטיות האלקטרונית דורשת הערכות פרטיות עבור עיבוד תקשורת אלקטרונית. לחוקי הפרטיות שאינם באיחוד האירופי, לרבות ה-GDPR הבריטי, LGPD הברזילאית, קליפורניה CPRA וה-PIPL של סין יש לכולם דרישות DPIA או מקבילות. ISO 27701 (ניהול מידע פרטיות) דורש תהליכי הערכת השפעת פרטיות מתועדים.