DPIA și evaluarea impactului asupra confidențialității

O evaluare a impactului privind protecția datelor (DPIA) este un proces structurat cerut în temeiul articolului 35 GDPR pentru activitățile de prelucrare care prezintă riscuri mari pentru datele personale ale persoanelor. O DPIA surprinde natura, domeniul de aplicare, contextul și scopurile prelucrării; evaluează necesitatea, proporționalitatea și măsurile de conformitate; identifică și evaluează riscurile pentru drepturile și libertățile persoanelor vizate; și specifică măsuri pentru abordarea acestor riscuri (controale de securitate, pseudonimizare, minimizarea datelor, limite de păstrare). Activele suport includ hărți ale fluxului de date (modul în care datele personale se deplasează prin sisteme și peste granițe), evaluări ale intereselor legitime și registre ale procesatorilor terți.

DPIA sunt obligatorii din punct de vedere legal în temeiul articolului 35 din GDPR pentru prelucrarea care poate duce la un risc ridicat pentru persoane – inclusiv crearea de profiluri sistematice, prelucrarea pe scară largă a categoriilor speciale de date și monitorizarea sistematică a zonelor accesibile publicului. Neefectuarea unui DPIA obligatoriu poate duce la sancțiuni de reglementare și demonstrează o lipsă de responsabilitate - un principiu cheie GDPR. Dincolo de conformitatea legală, DPIA demonstrează autorităților de reglementare și persoanelor vizate că organizația a luat în considerare și a abordat în mod sistematic riscurile de confidențialitate. Acestea sunt, de asemenea, din ce în ce mai solicitate de legile privind confidențialitatea din afara UE (LGPD brazilian, GDPR din Marea Britanie, CPRA din California) și de către furnizorii de asigurări ca dovadă a gestionării riscului de confidențialitate.

Rapoartele DPIA complete acoperă evaluarea completă — descrierea procesării, evaluarea necesității și proporționalității, identificarea riscurilor, înregistrările consultărilor (cu responsabilul cu protecția datelor și, acolo unde este necesar, autoritatea de supraveghere) și măsuri de atenuare. Hărțile fluxului de date și inventarele arată modul în care datele cu caracter personal se deplasează prin sisteme, peste granițe și între procesatori - susțin înregistrările activităților de prelucrare (ROPA) și gradul de pregătire pentru notificarea încălcării. Evaluările intereselor legitime (LIA) sunt evaluări în trei părți necesare pentru prelucrare bazate pe interesul legitim ca bază legală în temeiul articolului 6 alineatul (1) litera (f) din GDPR. Registrele de procesare terță parte urmăresc toți procesatorii și subprocesorii de date, inclusiv starea acordului de prelucrare a datelor (DPA), mecanismele de transfer și locația - necesare pentru responsabilitatea continuă GDPR.

Activele DPIan, hărțile fluxului de date și registrele procesoarelor sunt încărcate în Sustalium și conectate la cadrele relevante de conformitate cu confidențialitatea. Dovezile privind confidențialitatea se conectează la înregistrările de conformitate GDPR, procedurile privind drepturile persoanelor vizate și protocoalele de notificare a încălcării. Sustalium urmărește programele de revizuire a DPIA – DPIA-urile trebuie revizuite atunci când operațiunile de procesare se schimbă semnificativ – și semnalează DPIA-urile care expiră pentru reevaluare. Registrele procesatorului sunt legate de înregistrările de achiziții, astfel încât noi angajamente de procesator declanșează automat cerințele de revizuire DPIA. Pentru organizațiile care operează în mai multe jurisdicții, Sustalium mapează cerințele de conformitate cu confidențialitatea cu implementările naționale aplicabile ale GDPR și alte legi privind confidențialitatea.

GDPR este cadrul principal - articolul 35 impune DPIA, articolul 30 necesită înregistrări ale activităților de prelucrare, articolul 32 necesită măsuri de securitate înregistrate, iar articolul 33 necesită proceduri de notificare a încălcării înregistrate. Actul UE AI impune evaluări de impact asemănătoare DPIA pentru sistemele AI cu risc ridicat. DORA necesită evaluări ale riscurilor TIC care se suprapun cu cartografierea procesării datelor DPIA. Directiva privind confidențialitatea electronică necesită evaluări ale confidențialității pentru procesarea comunicațiilor electronice. Legile privind confidențialitatea din afara UE, inclusiv GDPR din Regatul Unit, LGPD brazilian, CPRA din California și PIPL din China au toate cerințele DPIA sau echivalente. ISO 27701 (managementul informațiilor privind confidențialitatea) necesită procese înregistrate de evaluare a impactului asupra confidențialității.