Bendrasis duomenų apsaugos reglamentas (BDAR) reikalauja, kad įmonės ir organizacijos, kurių duomenų tvarkymas gali sukelti pavojų fizinių asmenų interesams, atliktų poveikio asmens duomenų apsaugai vertinimą (angl.trump. DPIA). Tai būtina, nes bendrovės yra atsakingos už tai, kad veikla būtų tvarkoma taip, kad fizinių asmenų teisės ir laisvės būtų apsaugotos.
Jei įmonėje DPIA dar nėra atliekamas, jis turi būti parengtas ir įdiegtas į įmonės veiklos politiką ir procedūras.
Kas yra poveikio duomenų apsaugai vertinimas?
Poveikio duomenų apsaugai vertinimas skirtas sistemingai ir išsamiai analizuoti įmonės asmens duomenų tvarkymo veiklą ir jo keliamą riziką. DPIA padeda įmonei nustatyti ir išvengti rizikos, susijusios su duomenų apsauga ir privatumu. DPIA padengia atitikties riziką iš įmonės perspektyvos, ir riziką asmenų teisėms ir laisvėms. Asmens duomenų tvarkymo pažeidimai gali asmeniui sukelti didelę socialinę ar ekonominę žalą.
Todėl atliekant DPIA reiktų atsižvelgti rizikos laipsnį – galimas neigiamas poveikis asmenims ir jo tikimybė. DPIA nepadeda visiškai neišvengia rizikos, tačiau jis turėtų būti rengiamas taip, kad būtų kuo tiksliau nustatomas ir sumažinamas galimas neigiamas duomenų tvarkymo poveikis, ir įvertinama ar likusi rizika gali būti suvaldyta. DPIA taip pat gali remtis platesnia atitiktimi, atsižvelgiant į finansinę ir reputacijos naudą, įrodant atskaitomybę kiekvienam individualiam klientui.
Kada reikia parengti DPIA?
DPIA būtina, kai asmens duomenų tvarkymas gali sukelti didelę riziką fizinių asmenų teisėms ir laisvėms. Tai reiškia plačiai paplitusį ar rimtą poveikį asmeniui ar visuomenei apskritai. Parengti DPIA reikia, kai:
- Sistemingas ir platus profiliavimas arba automatinis apdorojimas, turintis teisinių pasekmių asmeniui;
- Didelės apimties specialiųjų duomenų ar asmens duomenų, susijusių su apkaltinamaisiais nuosprendžiais, apdorojimas;
- Sistemingas viešos teritorijos stebėjimas.
Siekiant nustatyti tikslesnį duomenų tvarkymo operacijų, dėl kurių, atsižvelgiant į joms būdingą didelį pavojų, reikia atlikti DPIA, turėtų būti įvertinti toliau nurodyti devyni kriterijai:
- Vertinimas arba balų skyrimas, įskaitant profiliavimą ir prognozavimą;
- Automatizuotas sprendimų, sukeliančių teisinį arba panašų rimtą poveikį, priėmimas;
- Sisteminga stebėsena;
- Tvarkomi neskelbtini duomenys arba labai asmeniški duomenys;
- Didelio masto duomenų tvarkymas;
- Duomenų rinkinių siejimas ir derinimas;
- Tvarkomi su pažeidžiamais duomenų subjektais susiję duomenys;
- Naujoviškas naudojimas arba naujų technologinių ar organizacinių sprendimo būdų taikymas;
- Duomenų subjektams užkertamas kelias naudotis savo teisėmis, paslaugomis arba sudaryti sutartis.
DPIA poreikis turi būti atidžiai apsvarstytas, juolab, kad ES valstybėse DPIA reikalavimai gali kisti. Pavyzdžiui, Suomija į pradinį duomenų apdorojimo sąrašą neįtraukė vietos duomenų, kol EDPB (Europos duomenų apsaugos taryba) patarė ją pridėti. Taip pat, ne kiekviena ES valstybė reikalauja DPIA, jei įmonė naudojasi naujomis technologijomis. Tačiau DPIA rengimas turėtų būti laikomas kaip bendra taisykle tais atvejais, kai duomenų tvarkymas apima profiliavimą ar nuolatinį stebėjimą, kai sprendimai dėl galimybės naudotis paslaugomis ar galimybėmis daromi pasitelkiant technologiją arba, kai tduomenų tvarkymas yra susijęs su ypač slaptais duomenimis ar pažeidžiamais asmenimis. Net jei didelė rizika asmeniui nėra aptikta, DPIA yra pagrindinis duomenų apsaugos dokumentas, kai tvarkymo veikla yra kintanti nuolat dokumentuojama.
