DPIA

Что это значит

DPIA - оценка влияния обработки на защиту персональных данных. GDPR требует её там, где риск для прав людей высок: масштабное профилирование, видеонаблюдение, чувствительные данные, новые технологии.

Это не одностраничная форма. Оценивают цель и необходимость обработки, риски для людей и меры их снижения, включая псевдонимизацию и сроки хранения.

Её не путают с реестром операций обработки. Реестр - перечень всех видов обработки в компании, краткий и обязательный почти для всех, тогда как DPIA углубляется в одну конкретную рисковую обработку и объясняет, почему она соразмерна.

Как это работает на практике

На практике её вызывает система видеонаблюдения, контроль работы сотрудников или крупная маркетинговая система с профилированием. Делают до запуска, вместе с договором с обработчиком.

Частью бывает ревизия прав доступа и ответ на вопрос, кто реально доберётся до данных. Именно этот вопрос чаще всего показывает, что система собирает больше, чем кому-либо нужно.

Типичный случай в небольшой компании - система учёта присутствия по отпечатку пальца или распознаванию лица. Биометрические данные относятся к особым категориям, и оценка часто показывает, что для учёта рабочего времени вполне достаточно чип-карты, которой никакие чувствительные данные не нужны.

На что обратить внимание

Если из оценки следует высокий остаточный риск, который нельзя снизить, обработку надо согласовать с надзорным органом. Запуск без этого даёт санкцию за саму процедуру, а не за утечку.

Оценка не разовая. Когда компания расширяет систему, добавляет новые данные или переносит обработку к облачному провайдеру за пределами ЕС, исходная DPIA перестаёт соответствовать действительности, а при проверке оценивают нынешнее состояние, а не то, что было при запуске.