GDPR – Adatvédelmi hatásvizsgálat

A magánszféra-hatásvizsgálat (PIA) vagy adatvédelmi hatásvizsgálat (DPIA) eszközét az Általános Adatvédelmi Rendelettel (GDPR 35. cikke) vezették be. Ez a felelős adatkezelő azon kötelezettségére utal, hogy az adatkezelési művelet megkezdése előtt hatásvizsgálatot végezzen és azt dokumentálja. Lehetőség van arra, hogy az értékelést több adatkezelési eljárásra vonatkozóan is összevonják.

Alapvetően adatvédelmi hatásvizsgálatot mindig el kell végezni, amikor a feldolgozás magas kockázatot jelenthet a természetes személyek jogaira és szabadságaira nézve. A vizsgálatot különösen akkor kell elvégezni, ha a GDPR 35. cikk (3) bekezdésében meghatározott szabálypéldák egyike releváns. Az adatvédelmi hatásvizsgálat elvégzésének alapvető kötelezettségére vonatkozó jogi megfogalmazás pontosítása érdekében a felügyeleti hatóságok bevonásra kerülnek. Az első tervezetben az 29. cikk szerinti Munkacsoport egy tíz kritériumból álló katalógust hozott létre, amely jelzi, hogy a feldolgozás magas kockázatot jelent a természetes személy jogaira és szabadságaira nézve. Ezek például a pontozás/profilalkotás, automatikus döntések, amelyek jogi következményekkel járnak az érintettek számára, szisztematikus megfigyelés, különleges személyes adatok feldolgozása, nagy mennyiségben feldolgozott adatok, különböző folyamatok során gyűjtött adatok egyesítése vagy összekapcsolása, cselekvőképtelen vagy korlátozott cselekvőképességű személyekkel kapcsolatos adatok, új technológiák vagy biometrikus eljárások használata, adatok továbbítása az EU/EGT-n kívüli országokba és adatfeldolgozás, amely akadályozza az érintetteket a jogaik gyakorlásában. Adatvédelmi hatásvizsgálat nem feltétlenül szükséges, ha egy feldolgozási művelet csak egyetlen kritériumot teljesít. Ha azonban több kritérium is teljesül, az érintettekre nézve várhatóan magas a kockázat, és adatvédelmi hatásvizsgálatra mindig szükség van. Ha kétség merül fel, és nehéz meghatározni a magas kockázatot, akkor is el kell végezni a DPIA-t. Ezt a folyamatot legalább háromévente meg kell ismételni.

Ezenkívül a nemzeti felügyeleti hatóságoknak meg kell határozniuk és közzé kell tenniük azoknak az adatkezelési műveleteknek a listáját, amelyek mindig adatvédelmi hatásvizsgálatot igényelnek az illetékességi területükön (pozitív lista). Szabadon közzétehetnek egy olyan listát is az adatkezelési tevékenységekről, amelyek kifejezetten nem igényelnek adatvédelmi hatásvizsgálatot (negatív lista). Ha egy vállalat adatvédelmi tisztviselőt nevezett ki, véleményét figyelembe kell venni az adatvédelmi hatásvizsgálat elvégzésekor. Hogy hogyan és milyen kritériumok alapján értékelik az érintettekre gyakorolt következményeket és kockázatokat, nagyrészt válasz nélkül marad. Az első sablonok az ISO szabványok vagy a Standard Data Protection Model ellenőrzési sémái szerint irányultak.