GDPR – Privātuma ietekmes novērtējums

Privātuma ietekmes novērtējuma (PIA) vai datu aizsardzības ietekmes novērtējuma (DPIA) instruments tika ieviests ar Vispārīgo datu aizsardzības regulu (VDAR 35. pants). Tas attiecas uz pārziņa pienākumu veikt ietekmes novērtējumu un to dokumentēt pirms plānotās datu apstrādes uzsākšanas. Ietekmes novērtējumu var apvienot vairākām apstrādes procedūrām.

Principā datu aizsardzības ietekmes novērtējums jāveic vienmēr, ja apstrāde var radīt augstu risku fizisku personu tiesībām un brīvībām. Novērtējums īpaši jāveic, ja ir piemērojams kāds no regulas 35. panta 3. punkta noteikto noteikumu piemēriem. Lai precizētu likuma atvērto formulējumu attiecībā uz pamata pienākumu veikt privātuma ietekmes novērtējumu, tiek iesaistītas uzraudzības iestādes. Pirmā projekta ietvaros 29. panta Darba grupa izveidoja desmit kritēriju katalogu, kas norāda, ka apstrāde rada augstu risku fiziskas personas tiesībām un brīvībām. Tie ir, piemēram, vērtēšana/profilēšana, automātiski lēmumi, kas rada juridiskas sekas attiecībā uz iesaistītajiem, sistemātiska uzraudzība, īpašu personas datu apstrāde, lielapjoma datu apstrāde, datu apvienošana vai kombinēšana, kas iegūti ar dažādiem procesiem, datu par fiziski nespējīgiem cilvēkiem vai tiem, kuriem ir ierobežotas darbības spējas, izmantošana, jaunu tehnoloģiju vai biometrisko procedūru izmantošana, datu pārsūtīšana uz valstīm ārpus ES/EEZ un datu apstrāde, kas kavē iesaistīto personu tiesību izmantošanu. Privātuma ietekmes novērtējums nav pilnīgi nepieciešams, ja apstrādes darbība atbilst tikai vienam no šiem kritērijiem. Tomēr, ja tiek izpildīti vairāki kritēriji, tiek sagaidīts augsts risks datu subjektam, un vienmēr ir nepieciešams datu aizsardzības ietekmes novērtējums. Ja rodas šaubas un ir grūti noteikt augstu risku, tomēr būtu jāveic DPIN. Šis process jāatkārto vismaz reizi trīs gados.

Turklāt valsts uzraudzības iestādēm ir jāizveido un jāpublicē to apstrādes darbību saraksts, kurām viņu jurisdikcijā vienmēr nepieciešams datu aizsardzības ietekmes novērtējums (pozitīvais saraksts). Tām ir arī brīvība publicēt to apstrādes darbību sarakstu, kurām konkrēti nav nepieciešams privātuma ietekmes novērtējums (negatīvais saraksts). Ja uzņēmums ir iecēlis datu aizsardzības inspektoru, viņa ieteikumi jāņem vērā veicot DPIA. Kā un pēc kādiem kritērijiem tiek novērtētas sekas un riski datu subjektiem, lielā mērā paliek neatbildēts. Pirmie veidnes tika vadītas pēc ISO standartu pārbaudes shēmām vai Standarta datu aizsardzības modeļa.