GDPR – Оценка на въздействието върху поверителността

Инструментът за оценка на въздействието върху поверителността (PIA) или оценка на въздействието върху защитата на данните (DPIA) беше въведен с Общия регламент за защита на данните (чл. 35 от GDPR). Това се отнася до задължението на администратора да извърши оценка на въздействието и да я документира преди започване на планираното обработване на данни. Може да се обедини оценката за няколко процедури на обработване.

По същество, оценката на въздействието върху защитата на данните винаги трябва да се провежда, когато обработването може да доведе до висока степен на риск за правата и свободите на физическите лица. Оценката трябва да се извършва особено ако някой от примери по правилото, установени в чл. 35(3) от GDPR, е приложим. За да се уточни неуточнената формулировка на закона относно основното задължение за извършване на оценка на въздействието върху личния живот, в процеса се включват надзорните органи. В първоначален проект Работната група по член 29 създаде каталог от десет критерия, които показват, че обработването носи висок риск за правата и свободите на физическо лице. Това са например оценяване/профилиране, автоматични решения, които водят до правни последици за засегнатите, систематично наблюдение, обработка на специални лични данни, данни, които се обработват в голям мащаб, обединяване или комбиниране на данни, които са събрани от различни процеси, данни за лица с недееспособност или с ограничена способност да действат, използване на нови технологии или биометрични процедури, предаване на данни в страни извън ЕС/ЕИП и обработване на данни, което възпрепятства участниците в упражняването на правата си. Оценка на въздействието на личния живот не е абсолютно необходима, ако операцията по обработка изпълнява само един от тези критерии. Въпреки това, ако се изпълнят няколко критерия, рискът за субектите на данните се очаква да е висок и винаги е необходима оценка на въздействието върху защитата на данните. Ако има съмнение и е трудно да се определи висок риск, все пак трябва да се проведе DPIA. Този процес трябва да се повтаря поне на всеки три години.

Освен това националните надзорни органи трябва да съставят и публикуват списък с операции по обработване, които винаги изискват оценка на въздействието върху защитата на данните в тяхната юрисдикция (положителен списък). Те също така имат свободата да публикуват списък с операции по обработване, които специално не изискват оценка на въздействието върху поверителността (отрицателен списък). Ако дадена компания е назначила длъжностно лице по защита на данните, неговото мнение трябва да бъде взето предвид при извършването на оценка на въздействието върху защитата на данните. Как и по какви критерии се оценяват последствията и рисковете за субектите на данни остава до голяма степен неуточнено. Първите шаблони бяха ръководени от инспекционните схеми на стандартите на ISO или Стандартния модел за защита на данните.