GDPR – Privatumo poveikio vertinimas

Privatumo poveikio vertinimo (PPV) arba duomenų apsaugos poveikio vertinimo (DPV) priemonė buvo įvesta pagal Bendrąjį duomenų apsaugos reglamentą (BDAR 35 straipsnis). Tai susiję su duomenų valdytojo įpareigojimu atlikti poveikio vertinimą ir jį dokumentuoti prieš pradedant numatytą duomenų tvarkymą. Galima apjungti vertinimą keliems tvarkymo procesams.

Iš esmės, duomenų apsaugos poveikio vertinimas turi būti atliekamas visada, kai tvarkymas gali sukelti didelę riziką fizinių asmenų teisėms ir laisvėms. Vertinimas privalo būti atliekamas ypač jei taikomas vienas iš taisyklės pavyzdžių, nurodytų BDAR 35 straipsnio 3 dalyje. Siekiant detalizuoti atviro pobūdžio teisės akto formuluotę dėl pagrindinės pareigos atlikti privatumo poveikio vertinimą, priežiūros institucijų dalyvavimas yra būtinas. Pradiniame projekte 29 straipsnio darbo grupė sukūrė dešimties kriterijų katalogą, kurie nurodo, kad tvarkymas kelia didelę riziką fizinio asmens teisėms ir laisvėms. Tai pavyzdžiui yra vertinimas/profilavimas, automatiniai sprendimai, kurie lemia teisines pasekmes paveiktiems asmenims, sistemingas stebėjimas, ypatingų asmens duomenų tvarkymas, duomenų tvarkymas dideliu mastu, duomenų, surinktų iš įvairių procesų, sujungimas ar derinimas, duomenys apie neveiksnius asmenis arba asmenis, turinčius ribotą veiksmų galimybes, naujų technologijų ar biometrinių procedūrų naudojimas, duomenų perdavimas į ES/EEE neapimančias šalis ir duomenų tvarkymas, kuris trukdo dalyviams realizuoti savo teises. Privatumo poveikio vertinimas nėra visiškai būtinas, jei tvarkymo operacija atitinka tik vieną iš šių kriterijų. Tačiau, jei yra įvykdomi keli kriterijai, tikėtina, kad duomenų subjektų rizika yra didelė ir visada reikalingas duomenų apsaugos poveikio vertinimas. Jei kyla abejonių ir sunku nustatyti didelę riziką, vis dėlto reikėtų atlikti DPIA. Šis procesas turi būti kartojamas ne rečiau kaip kas trejus metus.

Be to, nacionalinės priežiūros institucijos privalo sudaryti ir paskelbti sąrašą tvarkymo operacijų, kurios visuomet reikalauja duomenų apsaugos poveikio vertinimo jų jurisdikcijoje (teigiamas sąrašas). Jos taip pat gali laisvai paskelbti tvarkymo veiklos, kurioms nereikia privatumo poveikio vertinimo (neigiamas sąrašas), sąrašą. Jeigu įmonė paskyrė Duomenų apsaugos pareigūną, jo patarimai turi būti atsižvelgiami atliekant DPIA. Kaip ir kokiais kriterijais remiantis vertinamos pasekmės ir rizika duomenų subjektams, daugiausia lieka neatsakyta. Pirmieji šablonai buvo vadovaujami ISO standartų patikrinimo schemomis arba Standartinio duomenų apsaugos modelio.