DPIA in ocena vpliva na zasebnost

Ocena učinka na varstvo podatkov (DPIA) je strukturiran postopek, ki ga zahteva 35. člen GDPR za dejavnosti obdelave, ki predstavljajo veliko tveganje za osebne podatke posameznikov. DPIA zajema naravo, obseg, kontekst in namene obdelave; ocenjuje nujnost, sorazmernost in ukrepe skladnosti; ugotavlja in ocenjuje tveganja za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki; in določa ukrepe za obravnavo teh tveganj (varnostni nadzor, psevdonimizacija, minimizacija podatkov, omejitve hrambe). Podporna sredstva vključujejo zemljevide pretoka podatkov (kako se osebni podatki premikajo skozi sisteme in čez meje), ocene zakonitih interesov in registre procesorjev tretjih oseb.

DPIA so zakonsko obvezne v skladu s členom 35 GDPR za obdelavo, ki bi lahko povzročila visoko tveganje za posameznike – vključno s sistematičnim profiliranjem, obsežno obdelavo posebnih kategorij podatkov in sistematičnim spremljanjem javno dostopnih območij. Neizvedba zahtevanega DPIA lahko povzroči regulativne kazni in dokazuje pomanjkanje odgovornosti – ključno načelo GDPR. Poleg zakonske skladnosti DPIA regulatorjem in posameznikom, na katere se nanašajo osebni podatki, dokazujejo, da je organizacija sistematično upoštevala in obravnavala tveganja zasebnosti. Vse pogosteje jih zahtevajo tudi zakoni o zasebnosti zunaj EU (brazilski LGPD, GDPR Združenega kraljestva, kalifornijska CPRA) in ponudniki zavarovanj kot dokaz obvladovanja tveganja zasebnosti.

Celotna poročila DPIA zajemajo celotno oceno – opis obdelave, oceno nujnosti in sorazmernosti, identifikacijo tveganja, zapise o posvetovanju (z uradno osebo za varstvo podatkov in po potrebi z nadzornim organom) ter ukrepe za ublažitev. Zemljevidi pretoka podatkov in popisi prikazujejo, kako se osebni podatki premikajo skozi sisteme, prek meja in med obdelovalci – podpirajo zapise dejavnosti obdelave (ROPA) in pripravljenost za obveščanje o kršitvah. Ocene zakonitega interesa (LIA) so tridelne ocene, potrebne za obdelavo, ki temeljijo na zakonitem interesu kot pravni podlagi v skladu s členom 6(1)(f) GDPR. Registri obdelovalcev tretjih oseb sledijo vsem obdelovalcem podatkov in podobdelovalcem, vključno s statusom pogodbe o obdelavi podatkov (DPA), mehanizmi prenosa in lokacijo – kar je potrebno za stalno odgovornost GDPR.

Sredstva DPIan, zemljevidi pretoka podatkov in registri procesorjev so naloženi v Sustalium in povezani z ustreznimi okviri skladnosti zasebnosti. Dokazi o zasebnosti so povezani z zapisi skladnosti z GDPR, postopki za pravice posameznikov, na katere se nanašajo osebni podatki, in protokoli za obveščanje o kršitvah. Sustalium sledi razporedom pregledov DPIA — DPIA je treba pregledati, ko se postopki obdelave bistveno spremenijo — in označi DPIA, ki poteče, za ponovno oceno. Registri procesorjev so povezani z evidenco o nabavi, tako da nova vključitev procesorjev samodejno sproži zahteve po pregledu DPIA. Za organizacije, ki delujejo v več jurisdikcijah, Sustalium preslika zahteve glede skladnosti zasebnosti z veljavnimi nacionalnimi implementacijami GDPR in drugih zakonov o zasebnosti.

GDPR je primarni okvir – člen 35 zahteva DPIA, člen 30 zahteva evidence dejavnosti obdelave, člen 32 zahteva zabeležene varnostne ukrepe, člen 33 pa zahteva evidentirane postopke obveščanja o kršitvah. Zakon EU o umetni inteligenci zahteva ocene učinka, podobne DPIA, za sisteme umetne inteligence z visokim tveganjem. DORA zahteva ocene tveganja IKT, ki se prekrivajo s preslikavo obdelave podatkov DPIA. Direktiva o zasebnosti in elektronskih komunikacijah zahteva ocene zasebnosti za obdelavo elektronskih komunikacij. Zakoni o zasebnosti zunaj EU, vključno z GDPR Združenega kraljestva, brazilskim LGPD, kalifornijskim CPRA in kitajskim PIPL, imajo vse zahteve DPIA ali enakovredne zahteve. ISO 27701 (upravljanje informacij o zasebnosti) zahteva zabeležene procese ocenjevanja vpliva na zasebnost.