DPIA és adatvédelmi hatásvizsgálat

Az adatvédelmi hatásvizsgálat (DPIA) egy strukturált folyamat, amelyet a GDPR 35. cikke előír az olyan feldolgozási tevékenységekhez, amelyek nagy kockázatot jelentenek az egyének személyes adataira nézve. Az adatvédelmi jelentés rögzíti az adatfeldolgozás természetét, hatókörét, kontextusát és céljait; felméri a szükségességi, arányossági és megfelelési intézkedéseket; azonosítja és értékeli az érintettek jogait és szabadságait veszélyeztető kockázatokat; és intézkedéseket határoz meg e kockázatok kezelésére (biztonsági ellenőrzések, álnevesítés, adatminimalizálás, megőrzési korlátok). A támogató eszközök magukban foglalják az adatfolyam-térképeket (a személyes adatok rendszereken és határokon át történő áthaladását), a jogos érdekek felmérését és a harmadik felek feldolgozóinak nyilvántartásait.

A GDPR 35. cikke értelmében a DPIA-k jogilag kötelezőek olyan feldolgozás esetén, amely nagy kockázatot jelent az egyének számára – ideértve a szisztematikus profilalkotást, az adatok speciális kategóriáinak nagyszabású feldolgozását és a nyilvánosan hozzáférhető területek szisztematikus nyomon követését. A kötelező adatvédelmi hatásvizsgálat elvégzésének elmulasztása szabályozói szankciókat vonhat maga után, és az elszámoltathatóság hiányát mutatja – ez a GDPR kulcsfontosságú elve. A törvényi megfelelésen túl az adatvédelmi nyilatkozatok bizonyítják a szabályozó hatóságok és az érintettek számára, hogy a szervezet szisztematikusan figyelembe vette és kezelte az adatvédelmi kockázatokat. Az EU-n kívüli adatvédelmi törvények (brazil LGPD, UK GDPR, California CPRA) és a biztosítási szolgáltatók is egyre inkább előírják ezeket az adatvédelmi kockázatkezelés bizonyítékaként.

A teljes DPIA-jelentések kiterjednek a teljes értékelésre – a feldolgozás leírására, a szükségesség és arányosság értékelésére, a kockázat azonosítására, a konzultációs feljegyzésekre (az adatvédelmi tisztviselővel és szükség esetén a felügyeleti hatósággal), valamint a mérséklő intézkedésekre. Az adatfolyam-térképek és leltárak megmutatják, hogy a személyes adatok hogyan mozognak a rendszereken, határokon át és a feldolgozók között – támogatva a feldolgozási tevékenységek nyilvántartását (ROPA) és a jogsértés bejelentésére való készséget. A jogos érdekértékelések (LIA) olyan három részből álló értékelések, amelyek a GDPR 6. cikke (1) bekezdésének f) pontja értelmében jogos érdeken, mint jogalapon alapuló adatfeldolgozáshoz szükségesek. A harmadik féltől származó adatfeldolgozók nyilvántartásai nyomon követik az összes adatfeldolgozót és alfeldolgozót, beleértve az adatfeldolgozási megállapodás (DPA) állapotát, az átviteli mechanizmusokat és a helyet – amelyek a GDPR folyamatos elszámoltathatóságához szükségesek.

A DPIan eszközök, adatfolyam-térképek és processzor-regiszterek feltöltésre kerülnek a Sustaliumba, és összekapcsolódnak a vonatkozó adatvédelmi megfelelőségi keretrendszerekkel. Az adatvédelmi bizonyítékok a GDPR megfelelőségi nyilvántartásaihoz, az érintettek jogaival kapcsolatos eljárásokhoz és a jogsértésről szóló értesítési protokollokhoz kapcsolódnak. A Sustalium követi a DPIA-ellenőrzési ütemterveket – a DPIA-kat felül kell vizsgálni, ha a feldolgozási műveletek jelentősen megváltoznak –, és megjelöli a lejáró DPIA-kat az újraértékeléshez. A processzorregiszterek a beszerzési rekordokhoz vannak kapcsolva, így az új processzor-lehívások automatikusan kiváltják a DPIA-ellenőrzési követelményeket. A több joghatóságon keresztül működő szervezetek esetében a Sustalium az adatvédelmi megfelelési követelményeket a GDPR és más adatvédelmi törvények vonatkozó nemzeti megvalósításaihoz rendeli.

A GDPR az elsődleges keret – a 35. cikk megköveteli az adatvédelmi hatásokat, a 30. cikk a feldolgozási tevékenységek nyilvántartását, a 32. cikk rögzíti a biztonsági intézkedéseket, a 33. cikk pedig rögzíti a jogsértésről szóló értesítési eljárásokat. Az EU AI-törvénye előírja a DPIA-szerű hatásvizsgálatokat a magas kockázatú mesterséges intelligencia-rendszereknél. A DORA olyan IKT-kockázatértékelést igényel, amely átfedésben van a DPIA adatfeldolgozási leképezéssel. Az elektronikus hírközlési adatvédelmi irányelv adatvédelmi értékelést ír elő az elektronikus hírközlés feldolgozásához. Az EU-n kívüli adatvédelmi törvények, köztük az Egyesült Királyság GDPR-ja, a brazil LGPD, a kaliforniai CPRA és a kínai PIPL, mind rendelkeznek DPIA-val vagy azzal egyenértékű követelményekkel. Az ISO 27701 (adatvédelmi információkezelés) rögzített adatvédelmi hatásvizsgálati folyamatokat ír elő.