DPIA un privātuma ietekmes novērtējums

Ietekmes uz datu aizsardzību novērtējums (DPIA) ir strukturēts process, kas saskaņā ar VDAR 35. pantu ir vajadzīgs tādu apstrādes darbību veikšanai, kas rada augstu risku personu personas datiem. DPIA atspoguļo apstrādes būtību, apjomu, kontekstu un mērķus; izvērtē nepieciešamības, samērīguma un atbilstības pasākumus; identificē un novērtē riskus datu subjektu tiesībām un brīvībām; un precizē pasākumus šo risku novēršanai (drošības kontrole, pseidonimizācija, datu minimizēšana, saglabāšanas ierobežojumi). Atbalsta līdzekļi ietver datu plūsmas kartes (personas datu pārvietošanos caur sistēmām un pāri robežām), likumīgo interešu novērtējumus un trešo pušu apstrādātāju reģistrus.

Saskaņā ar GDPR 35. pantu DPIA ir juridiski pieprasītas attiecībā uz apstrādi, kas var radīt lielu risku personām, tostarp sistemātiska profilēšana, īpašu kategoriju datu liela mēroga apstrāde un sistemātiska publiski pieejamu apgabalu uzraudzība. Ja netiek veikts obligāts DPIA, var tikt piemēroti normatīvie sodi, un tas liecina par pārskatatbildības trūkumu — galvenais VDAR princips. Papildus juridiskajai atbilstībai DPIA pierāda regulatoriem un datu subjektiem, ka organizācija ir sistemātiski apsvērusi un risinājusi privātuma riskus. Tos arvien vairāk pieprasa arī ārpus ES esošie privātuma likumi (Brazīlijas LGPD, Apvienotās Karalistes GDPR, Kalifornijas CPRA) un apdrošināšanas pakalpojumu sniedzēji kā pierādījumu privātuma riska pārvaldībai.

Pilnie DPIA ziņojumi aptver pilnīgu novērtējumu — apstrādes aprakstu, nepieciešamības un proporcionalitātes novērtējumu, riska identifikāciju, konsultāciju ierakstus (ar datu aizsardzības inspektoru un, ja nepieciešams, uzraudzības iestādi), un mazināšanas pasākumus. Datu plūsmas kartes un uzskaites parāda, kā personas dati pārvietojas pa sistēmām, pāri robežām un starp apstrādātājiem — atbalsta apstrādes darbību ierakstus (ROPA) un gatavību paziņot par pārkāpumiem. Likumīgo interešu novērtējumi (LIA) ir trīsdaļīgi novērtējumi, kas nepieciešami apstrādei, pamatojoties uz likumīgām interesēm kā likumīgu pamatu saskaņā ar VDAR 6. panta 1. punkta f) apakšpunktu. Trešo pušu apstrādātāju reģistri izseko visus datu apstrādātājus un apakšapstrādātājus, tostarp datu apstrādes līguma (DPA) statusu, pārsūtīšanas mehānismus un atrašanās vietu, kas nepieciešami pastāvīgai GDPR pārskatatbildībai.

DPIan līdzekļi, datu plūsmas kartes un procesoru reģistri tiek augšupielādēti Sustalium un saistīti ar attiecīgajām privātuma atbilstības sistēmām. Privātuma pierādījumi ir saistīti ar GDPR atbilstības ierakstiem, datu subjektu tiesību procedūrām un pārkāpumu paziņošanas protokoliem. Sustalium izseko DPIA pārskatīšanas grafikus — DPIA ir jāpārskata, kad apstrādes darbības būtiski mainās — un atzīmē, ka DPIA beidzas atkārtotai novērtēšanai. Procesoru reģistri ir saistīti ar iepirkuma ierakstiem, lai jaunas apstrādātāja piesaistes automātiski aktivizētu DPIA pārskatīšanas prasības. Organizācijām, kas darbojas vairākās jurisdikcijās, Sustalium saskaņo privātuma atbilstības prasības ar piemērojamajām VDAR un citu privātuma likumu valsts ieviešanām.

VDAR ir primārais regulējums — 35. pantā ir nepieciešamas DPIA, 30. pantā ir nepieciešami apstrādes darbību ieraksti, 32. pantā ir nepieciešami reģistrēti drošības pasākumi, bet 33. pantā ir noteiktas reģistrētas pārkāpuma paziņošanas procedūras. ES AI likums nosaka, ka augsta riska AI sistēmām jāveic DPIA līdzīgi ietekmes novērtējumi. DORA pieprasa IKT riska novērtējumus, kas pārklājas ar DPIA datu apstrādes kartēšanu. E-privātuma direktīva pieprasa privātuma novērtēšanu elektronisko sakaru apstrādei. Ārpus ES privātuma likumiem, tostarp Apvienotās Karalistes GDPR, Brazīlijas LGPD, Kalifornijas CPRA un Ķīnas PIPL, ir DPIA vai līdzvērtīgas prasības. ISO 27701 (privātuma informācijas pārvaldība) pieprasa reģistrētus privātuma ietekmes novērtējuma procesus.