GDPR – Valutazzjoni tal-Impatt fuq il-Privatezza

L-għodda għat-twettiq ta’ valutazzjoni tal-impatt fuq il-privatezza (PIA) jew valutazzjoni tal-impatt fuq il-protezzjoni tad-data (DPIA) ġiet introdotta mar-Regolament Ġenerali dwar il-Protezzjoni tad-Data (Art. 35 tal-GDPR). Dan jirreferi għall-obbligu tal-kontrollur li jwettaq valutazzjoni tal-impatt u jaħżeżha qabel ma jibda l-ipproċessar tad-data maħsuba. Wieħed jista’ jiġbor il-valutazzjoni għal diversi proċeduri ta’ pproċessar.

Bażikament, evalwazzjoni tal-impatt tal-protezzjoni tad-data għandha dejjem titwettaq meta l-ipproċessar jista’ jirriżulta f’riskju għoli għad-drittijiet u l-libertajiet tal-persuni fiżiċi. L-evalwazzjoni għandha titwettaq speċjalment jekk waħda mill-eżempji tar-regoli stipulati fl-Art. 35(3) tal-GDPR hija rilevanti. Sabiex issir speċifikazzjoni tal-kliem miftuħ tal-liġi rigward l-obbligu bażiku li ssir evalwazzjoni tal-impatt tal-privatezza, l-awtoritajiet superviżorji huma involuti. Fi proġett inizjali, il-Grupp ta’ Ħidma tal-Artikolu 29 ħoloq katalogu ta’ għaxar kriterji li jindikaw li l-ipproċessar għandu riskju għoli għad-drittijiet u l-libertajiet ta’ persuna fiżika. Dawn huma pereżempju skorjar/profiling, deċiżjonijiet awtomatiċi li jwasslu għal konsegwenzi legali għal dawk affettwati, monitoraġġ sistematiku, ipproċessar ta’ data personali speċjali, data li tiġi pproċessata f’skala kbira, l-għaqqad jew it-tgħaqqid tad-data li nġabret minn proċessi varji, dejta dwar persuni inkapaċitati jew dawk b’abbiltà limitata biex jaġixxu, l-użu ta’ teknoloġiji ġodda jew proċeduri bijometriċi, trasferiment ta’ data lejn pajjiżi barra l-UE/ŻEE u proċessar ta’ data li jxekkel lil dawk involuti fl-eżerċizzju tad-drittijiet tagħhom. Evalwazzjoni tal-impatt tal-privatezza mhix assolutament meħtieġa jekk operazzjoni ta’ ipproċessar tissodisfa biss wieħed minn dawn il-kriterji. Madankollu, jekk jiġu ssodisfati diversi kriterji, ir-riskju għas-suġġetti tad-data huwa mistenni li jkun għoli u dejjem hija meħtieġa evalwazzjoni tal-impatt tal-protezzjoni tad-data. Jekk hemm dubju u huwa diffiċli biex jiġi determinat riskju għoli, għandu jitwettaq DPIA xorta waħda. Dan il-proċess għandu jiġi ripetut tal-anqas kull tliet snin.

Barra minn hekk, l-awtoritajiet superviżorji nazzjonali għandhom jistabbilixxu u jippubblikaw lista ta’ operazzjonijiet ta’ pproċessar li dejjem jeħtieġu valutazzjoni tal-impatt tal-protezzjoni tad-data fil-ġurisdizzjoni tagħhom (lista pożittiva). Huma wkoll ħielsa li jippubblikaw lista ta’ attivitajiet ta’ pproċessar li speċifikament ma jeħtiġux valutazzjoni tal-impatt tal-privatezza (lista negattiva). Jekk kumpanija tkun ħatret Uffiċjal tal-Protezzjoni tad-Data, il-pariri tiegħu għandhom jittieħdu in kunsiderazzjoni meta jsir DPIA. Kif u b’liema kriterji jiġu vvalutati l-konsegwenzi u r-riskji għas-suġġetti tad-data, jibqa’ mbagħad mhux imwieġeb ħafna. L-ewwel mudelli kienu mmexxija mill-iskemi ta’ spezzjoni tal-istandards ISO jew il-Mudell Standard għall-Protezzjoni tad-Data.