GDPR – Posouzení vlivu na ochranu soukromí

Nástroj pro posouzení vlivu na soukromí (PIA) nebo posouzení vlivu na ochranu údajů (DPIA) byl zaveden Obecným nařízením o ochraně osobních údajů (čl. 35 GDPR). To se týká povinnosti správce provést posouzení vlivu a zdokumentovat jej před zahájením zamýšleného zpracování údajů. Posouzení lze zahrnout do jednoho pro několik zpracovatelských postupů.

Zásadně je nutné provést posouzení vlivu na ochranu údajů vždy, pokud by zpracování mohlo mít za následek vysoké riziko pro práva a svobody fyzických osob. Posouzení musí být provedeno zejména tehdy, pokud je relevantní některý z příkladů pravidel uvedených v čl. 35 odst. 3 GDPR. K upřesnění otevřené formulace zákona týkající se základní povinnosti provést posouzení vlivu na soukromí jsou zapojeny dozorové orgány. V prvním návrhu vytvořila Pracovní skupina pro článek 29 katalog deseti kritérií, která naznačují, že zpracování nese vysoké riziko pro práva a svobody fyzické osoby. Jedná se například o skórování/profilování, automatická rozhodnutí, která vedou k právním důsledkům pro dotčené osoby, systematické monitorování, zpracování zvláštních osobních údajů, údaje zpracovávané ve velkém rozsahu, slučování nebo kombinování údajů, které byly shromážděny různými procesy, údaje o osobách nezpůsobilých k právnímu jednání nebo s omezenou schopností jednat, použití novějších technologií nebo biometrických postupů, předávání údajů do zemí mimo EU/EHS a zpracování údajů, které brání dotčeným osobám v uplatnění jejich práv. Posouzení vlivu na soukromí není nezbytně nutné, pokud zpracování splňuje pouze jedno z těchto kritérií. Avšak pokud je splněno několik kritérií, očekává se, že riziko pro subjekty údajů bude vysoké a vždy je vyžadováno posouzení vlivu na ochranu údajů. Pokud jsou pochybnosti a je obtížné určit vysoké riziko, mělo by být přesto provedeno DPIA. Tento proces musí být zopakován alespoň každé tři roky.

Navíc musí národní dozorové úřady vytvořit a zveřejnit seznam zpracovatelských operací, které vždy vyžadují posouzení vlivu na ochranu údajů v jejich jurisdikci (pozitivní seznam). Mohou také zveřejnit seznam zpracovatelských činností, které konkrétně nevyžadují posouzení vlivu na soukromí (negativní seznam). Pokud společnost jmenovala pověřence pro ochranu osobních údajů, jeho doporučení musí být při provádění DPIA zohledněno. To, jak a podle jakých kritérií jsou posuzovány důsledky a rizika pro subjekty údajů, zůstává do značné míry nezodpovězeno. První šablony byly vedeny inspekčními schématy ISO standardů nebo Standardním modelem ochrany údajů.