GDPR – Εκτίμηση Αντικτύπου σχετικά με την Ιδιωτικότητα

Το εργαλείο για την εκτίμηση αντίκτυπου στην ιδιωτικότητα (PIA) ή την εκτίμηση αντίκτυπου στην προστασία δεδομένων (DPIA) εισήχθη με τον Γενικό Κανονισμό για την Προστασία Δεδομένων (Άρθρο 35 του GDPR). Αυτό αναφέρεται στην υποχρέωση του υπευθύνου επεξεργασίας να διεξάγει εκτίμηση αντίκτυπου και να την τεκμηριώσει πριν ξεκινήσει την προγραμματισμένη επεξεργασία δεδομένων. Μπορεί κανείς να ομαδοποιήσει την εκτίμηση για διάφορες διαδικασίες επεξεργασίας.

Βασικά, μια εκτίμηση αντικτύπου προστασίας δεδομένων πρέπει πάντα να διεξάγεται όταν η επεξεργασία μπορεί να έχει ως αποτέλεσμα υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Η εκτίμηση πρέπει να πραγματοποιείται ειδικά αν εφαρμοστεί ένα από τα παραδείγματα κανόνων του Άρθρου 35(3) του ΓΚΠΔ. Προκειμένου να διευκρινιστεί το γενικούς όρους διατύπωσης του νόμου σχετικά με τη βασική υποχρέωση για διεξαγωγή εκτίμησης αντικτύπου προστασίας προσωπικής ζωής, οι εποπτικές αρχές είναι εμπλεκόμενες. Σε ένα πρώτο σχέδιο, η Ομάδα Εργασίας του Άρθρου 29 δημιούργησε έναν κατάλογο δέκα κριτηρίων που υποδηλώνουν ότι η επεξεργασία φέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες ενός φυσικού προσώπου. Αυτά είναι, για παράδειγμα, η αξιολόγηση/προφίλ, αυτόματες αποφάσεις που οδηγούν σε νομικές συνέπειες για αυτούς που επηρεάζονται, συστηματική παρακολούθηση, επεξεργασία ειδικών προσωπικών δεδομένων, δεδομένα που επεξεργάζονται σε μεγάλη κλίμακα, η συγχώνευση ή συνδυασμός δεδομένων που συλλέχθηκαν από διάφορες διαδικασίες, δεδομένα για άτομα χωρίς ικανότητα ή με περιορισμένη ικανότητα δράσης, χρήση νεότερων τεχνολογιών ή βιομετρικών διαδικασιών, μεταφορά δεδομένων σε χώρες εκτός ΕΕ/ΕΟΧ και επεξεργασία δεδομένων που εμποδίζει τους ενδιαφερόμενους να ασκήσουν τα δικαιώματά τους. Η εκτίμηση αντικτύπου προστασίας προσωπικής ζωής δεν είναι απολύτως απαραίτητη εάν μια λειτουργία επεξεργασίας πληροί μόνο ένα από αυτά τα κριτήρια. Ωστόσο, αν πληρούνται περισσότερα κριτήρια, ο κίνδυνος για τα υποκείμενα δεδομένων αναμένεται να είναι υψηλός και μια εκτίμηση αντικτύπου προστασίας δεδομένων απαιτείται πάντα. Σε περίπτωση αμφιβολίας και δυσκολίας καθορισμού υψηλού κινδύνου, πρέπει πάντως να διεξαχθεί εκτίμηση αντικτύπου προστασίας δεδομένων. Αυτή η διαδικασία πρέπει να επαναλαμβάνεται τουλάχιστον κάθε τρία χρόνια.

Επιπλέον, οι εθνικές εποπτικές αρχές πρέπει να καθορίσουν και να δημοσιεύσουν έναν κατάλογο διαδικασιών επεξεργασίας που πάντοτε απαιτούν εκτίμηση αντικτύπου στην προστασία δεδομένων στην αρμοδιότητά τους (θετικός κατάλογος). Είναι επίσης ελεύθερες να δημοσιεύσουν έναν κατάλογο δραστηριοτήτων επεξεργασίας που συγκεκριμένα δεν απαιτούν εκτίμηση αντικτύπου στην ιδιωτικότητα (αρνητικός κατάλογος). Εάν μία εταιρεία έχει διορίσει Υπεύθυνο Προστασίας Δεδομένων, η συμβουλή του πρέπει να ληφθεί υπόψη κατά την εκτέλεση μιας εκτίμησης αντικτύπου στην προστασία δεδομένων. Πώς και με ποια κριτήρια αξιολογούνται οι συνέπειες και οι κίνδυνοι για τα υποκείμενα των δεδομένων, παραμένει σε μεγάλο βαθμό αναπάντητο. Τα πρώτα πρότυπα καθοδηγήθηκαν από τα σχήματα επιθεώρησης των προτύπων ISO ή το Πρότυπο Μοντέλο Προστασίας Δεδομένων.