GDPR – Andmekaitse mõjuhinnang

Andmekaitsemõju hindamise (PIA) või andmekaitse mõjuhindamise (DPIA) instrument võeti kasutusele isikuandmete kaitse üldmäärusega (GDPR artikkel 35). See viitab vastutava töötleja kohustusele läbi viia mõjuhindamine ja dokumenteerida see enne kavatsetavat andmetöötlust. Hindamise võib koondada mitme töötlemisprotseduuri puhul.

Põhimõtteliselt tuleb andmekaitsemõju hindamine alati läbi viia, kui töötlemine võib põhjustada suurt riski füüsiliste isikute õigustele ja vabadustele. Hindamine tuleb läbi viia eriti siis, kui üks GDPR-i artiklis 35(3) sätestatud reeglinäidetest on asjakohane. Järelevalveasutused on kaasatud, et täpsustada seaduse üldiselt sõnastatud kohustust viia läbi privaatsusmõjunaalüüs. Artikkel 29 töörühm koostas esialgses mustandis kümne kriteeriumi loetelu, mis viitavad sellele, et töötlemine seob endaga suurt riski füüsilise isiku õigustele ja vabadustele. Need on näiteks skoorimine/profiilide koostamine, automaatsed otsused, mis toovad mõjutatud isikutele kaasa õiguslikke tagajärgi, süstemaatiline jälgimine, eriliste isikuandmete töötlemine, suurtes mahus töötlemine, mitmesuguste protsesside kaudu kogutud andmete ühendamine või kombineerimine, teovõimetute või piiratud teovõimega isikute andmed, uute tehnoloogiate või biomeetriliste meetodite kasutamine, andmete edastamine EL/EÜ-st väljaspool asuvatesse riikidesse ja andmetöötlus, mis takistab asjaosalisi oma õiguste teostamisel. Privaatsusmõjunaalüüs ei ole tingimata vajalik, kui töötlemistegevus täidab ainult ühte neist kriteeriumidest. Kui aga mitu kriteeriumi on täidetud, on oodata andmesubjektidele suuremat riski ja andmekaitsemõjunaalüüs on alati vajalik. Kui on kahtlusi ja kõrge riski kindlaksmääramine on keeruline, tuleks DPIA siiski läbi viia. Seda protsessi tuleb korrata vähemalt iga kolme aasta tagant.

Lisaks peavad riiklikud järelevalveasutused koostama ja avaldama nimekirja töötlemistoimingutest, mis nende jurisdiktsioonis alati nõuavad andmekaitse mõju hindamist (positiivne nimekiri). Nad võivad vabalt avaldada ka nimekirja töötlemistoimingutest, mis konkreetselt ei nõua privaatsuse mõju hindamist (negatiivne nimekiri). Kui ettevõte on määranud andmekaitseametniku, tuleb DPIA läbiviimisel arvestada tema nõuannetega. Kuidas ja milliste kriteeriumide järgi hinnatakse andmesubjektidele kaasnevaid tagajärgi ja riske, jääb suuresti vastamata. Esimesed mallid lähtusid ISO-standardite või standardiseeritud andmekaitsemudeli kontrolliskeemidest.