DPIA ir poveikio privatumui vertinimas

Poveikio duomenų apsaugai vertinimas (DPAV) yra struktūrizuotas procesas, kurio reikalaujama pagal BDAR 35 straipsnį, kai atliekama tvarkymo veikla, kelianti didelę riziką asmenų asmens duomenims. DPIA nurodomas apdorojimo pobūdis, apimtis, kontekstas ir tikslai; vertina būtinumo, proporcingumo ir atitikties priemones; nustato ir įvertina riziką duomenų subjektų teisėms ir laisvėms; ir nurodomos priemonės šiai rizikai pašalinti (saugumo kontrolė, pseudoniminimas, duomenų sumažinimas, saugojimo ribos). Pagalbiniai ištekliai apima duomenų srautų žemėlapius (kaip asmens duomenys juda per sistemas ir tarp valstybių), teisėtų interesų vertinimus ir trečiųjų šalių tvarkytojų registrus.

Pagal BDAR 35 straipsnį teisiškai reikalaujama, kad duomenų apsaugos priemonės būtų tvarkomos, kai gali kilti didelė rizika asmenims, įskaitant sistemingą profiliavimą, didelio masto specialių kategorijų duomenų tvarkymą ir sistemingą viešai prieinamų sričių stebėjimą. Neatlikus reikalaujamo DPIA, gali būti taikomos reguliavimo nuobaudos ir tai rodo atskaitomybės trūkumą – tai pagrindinis BDAR principas. Be teisės aktų laikymosi, DPIA parodo reguliavimo institucijoms ir duomenų subjektams, kad organizacija sistemingai svarstė ir sprendžia privatumo riziką. Be to, jų vis dažniau reikalauja ne ES privatumo įstatymai (Brazilijos LGPD, JK GDPR, Kalifornijos CPRA) ir draudimo paslaugų teikėjai kaip privatumo rizikos valdymo įrodymas.

Išsamios DPIA ataskaitos apima visą įvertinimą – apdorojimo aprašymą, būtinumo ir proporcingumo vertinimą, rizikos nustatymą, konsultacijų įrašus (su duomenų apsaugos pareigūnu ir, jei reikia, priežiūros institucija) ir mažinimo priemones. Duomenų srautų žemėlapiai ir aprašai rodo, kaip asmens duomenys juda per sistemas, tarpvalstybiniu mastu ir tarp tvarkytojų – tai palaiko duomenų tvarkymo veiklos įrašus (ROPA) ir pasirengimą pranešti apie pažeidimus. Teisėtų interesų vertinimai (LIA) – tai trijų dalių vertinimai, reikalingi tvarkymui remiantis teisėtu interesu kaip teisėtu pagrindu pagal BDAR 6 straipsnio 1 dalies f punktą. Trečiųjų šalių tvarkytojų registrai stebi visus duomenų tvarkytojus ir antrinius tvarkytojus, įskaitant duomenų apdorojimo sutarties (DPA) būseną, perdavimo mechanizmus ir vietą, reikalingus nuolatinei GDPR atskaitomybei.

DPIan turtas, duomenų srautų žemėlapiai ir procesorių registrai įkeliami į Sustalium ir susiejami su atitinkamomis privatumo atitikties sistemomis. Privatumo įrodymai yra susiję su BDAR atitikties įrašais, duomenų subjektų teisių procedūromis ir pranešimų apie pažeidimus protokolais. Sustalium seka DPIA peržiūros tvarkaraščius – DPIA turi būti peržiūrėta, kai apdorojimo operacijos labai pasikeičia – ir pažymi, kad baigiasi DPIA, kad būtų galima pakartotinai įvertinti. Procesorių registrai yra susieti su pirkimų įrašais, todėl nauji procesoriaus įsipareigojimai automatiškai suaktyvina DPIA peržiūros reikalavimus. Organizacijoms, veikiančioms keliose jurisdikcijose, „Sustalium“ privatumo atitikties reikalavimus susieja su taikomais nacionaliniais GDPR ir kitais privatumo įstatymais.

BDAR yra pagrindinė sistema – 35 straipsnyje reikalaujama DPIA, 30 straipsnyje reikalaujama duomenų apie apdorojimo veiklą, 32 straipsnyje reikalaujama įrašyti saugos priemones, o 33 straipsnyje reikalaujama pranešti apie užregistruotus pažeidimus. Pagal ES AI įstatymą reikalaujama, kad didelės rizikos AI sistemų poveikio vertinimai būtų panašūs į DPIA. DORA reikalauja IRT rizikos vertinimų, kurie sutampa su DPIA duomenų apdorojimo kartografavimu. E. privatumo direktyva reikalauja, kad būtų atliktas elektroninių ryšių apdorojimo privatumo vertinimas. Ne ES privatumo įstatymai, įskaitant JK GDPR, Brazilijos LGPD, Kalifornijos CPRA ir Kinijos PIPL, turi DPIA arba lygiaverčius reikalavimus. ISO 27701 (privatumo informacijos valdymas) reikalauja įrašyti poveikio privatumui vertinimo procesai.