GDPR – Tietosuojavaikutusten arviointi

Tietosuojavaikutusten arvioinnin (DPIA) tai tietosuojavaikutusten arvioinnin (PIA) väline otettiin käyttöön yleisen tietosuoja-asetuksen (GDPR:n 35 artikla) myötä. Tämä viittaa rekisterinpitäjän velvollisuuteen suorittaa vaikutustenarviointi ja dokumentoida se ennen aiotun tietojenkäsittelyn aloittamista. Arvioinnin voi niputtaa useille käsittelymenettelyille.

Periaatteessa tietosuojan vaikutustenarviointi on aina toteutettava, kun käsittely voi johtaa korkeaan riskiin luonnollisten henkilöiden oikeuksille ja vapauksille. Arviointi on erityisesti suoritettava, jos jokin GDPR:n 35 artiklan 3 kohdan sääntelyesimerkeistä on merkityksellinen. Lain avoimen muotoilun täsmentämiseksi perusvelvoitteesta suorittaa vaikutustenarviointi, valvontaviranomaiset osallistuvat prosessiin. Ensimmäisessä luonnoksessa, artikkeli 29:n työryhmä loi kymmenen kriteerin luettelon, jotka osoittavat, että käsittelyyn liittyy korkea riski luonnollisen henkilön oikeuksille ja vapauksille. Näitä ovat esimerkiksi pisteytys/profilointi, automaattiset päätökset, jotka johtavat oikeudellisiin seurauksiin niille, joita se koskee, järjestelmällinen seuranta, erityisten henkilötietojen käsittely, laajamittainen tietojen käsittely, eri prosesseissa kerättyjen tietojen yhdistäminen, tietoja oikeudellisesti vajaakyvyttömistä henkilöistä tai heistä, joilla on rajoitettu toimintakyky, uudempien teknologioiden tai biometrisen tekniikan käyttö, tietojen siirto EU:n/ETA:n ulkopuolisiin maihin ja tietojenkäsittely, joka estää asianosaisia käyttämästä oikeuksiaan. Vaikutustenarviointi ei ole ehdottoman välttämätön, jos käsittelytoimi täyttää ainoastaan yhden näistä kriteereistä. Kuitenkin, jos useita kriteereitä täyttyy, riski rekisteröidyille oletetaan korkeaksi ja tietosuojan vaikutustenarviointi on aina vaadittava. Jos epävarmuutta esiintyy ja on vaikea määrittää korkeaa riskiä, DPIA tulisi kuitenkin suorittaa. Tämä prosessi on toistettava vähintään kolmen vuoden välein.

Lisäksi kansallisten valvontaviranomaisten on laadittava ja julkaistava luettelo käsittelytoimista, jotka aina vaativat tietosuojaa koskevan vaikutustenarvioinnin heidän lainkäyttöalueellaan (positiivinen lista). He voivat myös julkaista luettelon käsittelytoimista, jotka eivät erityisesti vaadi tietosuoja-arviointia (negatiivinen lista). Jos yritys on nimittänyt tietosuojavastaavan, hänen neuvojaan on otettava huomioon suoritettaessa tietosuojavaikutusten arviointia. Kuinka ja millä perusteilla rekisteröityjen seurauksia ja riskejä arvioidaan, jää suurelta osin vastaamatta. Ensimmäiset mallipohjat perustuivat ISO-standardien tarkastusjärjestelmiin tai standarditietosuojamalliin.