Procjena učinka na privatnost – GDPR

Instrument za procjenu učinka na privatnost (PIA) ili procjenu učinka na zaštitu podataka (DPIA) uveden je Općom uredbom o zaštiti podataka (čl. 35 GDPR-a). To se odnosi na obvezu voditelja obrade da provede procjenu učinka i da je dokumentira prije nego što započne s namjeravanom obradom podataka. Moguće je grupirati procjenu za nekoliko postupaka obrade.

U osnovi, procjena učinka na zaštitu podataka uvijek se mora provesti kada obrada može rezultirati visokim rizikom za prava i slobode fizičkih osoba. Procjena se mora provesti posebno ako je relevantan jedan od primjera pravila navedenih u članku 35. stavku 3. GDPR-a. Kako bi se specificirala otvorena formulacija zakona u vezi s osnovnom obvezom provođenja procjene učinka na privatnost, uključena su nadzorna tijela. U prvom nacrtu, Radna skupina iz članka 29. stvorila je katalog od deset kriterija koji ukazuju na to da obrada nosi visok rizik za prava i slobode fizičke osobe. To su, na primjer, ocjenjivanje/profiliranje, automatske odluke koje dovode do pravnih posljedica za one koji su pogođeni, sustavno praćenje, obrada posebnih osobnih podataka, podaci koji se obrađuju u velikom opsegu, spajanje ili kombiniranje podataka koji su prikupljeni različitim procesima, podaci o nesposobnim osobama ili onima s ograničenom sposobnošću djelovanja, upotreba novih tehnologija ili biometrijskih postupaka, prijenos podataka u zemlje izvan EU/EEA i obrada podataka koja ometa sudjelovanje u ostvarivanju njihovih prava. Procjena učinka na privatnost nije apsolutno nužna ako operacija obrade ispunjava samo jedan od ovih kriterija. Međutim, ako je ispunjeno više kriterija, očekuje se visoki rizik za ispitanike i procjena učinka na zaštitu podataka uvijek je potrebna. Ako postoje sumnje i teško je utvrditi visok rizik, DPIA treba svejedno provesti. Ovaj proces mora se ponavljati najmanje svake tri godine.

Osim toga, nacionalna nadzorna tijela moraju uspostaviti i objaviti popis operacija obrade koje uvijek zahtijevaju procjenu učinka na zaštitu podataka u njihovoj nadležnosti (pozitivni popis). Također, mogu slobodno objaviti popis aktivnosti obrade koje posebno ne zahtijevaju procjenu učinka na privatnost (negativni popis). Ako je tvrtka imenovala službenika za zaštitu podataka, njegovo mišljenje mora se uzeti u obzir prilikom provođenja DPIA. Kako i prema kojim kriterijima se procjenjuju posljedice i rizici za ispitanike, ostaje uglavnom neodgovoreno. Prvi predlošci su se vodili inspekcijskim shemama ISO standarda ili Standardnim modelom zaštite podataka.