DPIA

Čo to znamená

DPIA je posúdenie vplyvu spracúvania na ochranu osobných údajov. GDPR ho vyžaduje tam, kde je riziko pre práva osôb vysoké: rozsiahle profilovanie, monitorovanie priestorov, citlivé údaje, nové technológie.

Nie je to formulár na jednu stranu. Posudzuje sa účel a nevyhnutnosť spracúvania, riziká pre dotknuté osoby a opatrenia, ktoré ich znižujú, vrátane pseudonymizácie a lehôt uchovávania.

Nezamieňa sa so záznamom o spracovateľských činnostiach. Záznam je súpis všetkých spracúvaní vo firme, stručný a povinný takmer pre každého, kým DPIA ide do hĺbky pri jednom konkrétnom rizikovom spracúvaní a vysvetľuje, prečo je primerané.

Ako to funguje v praxi

Vo firemnej praxi ho typicky vyvolá kamerový systém, sledovanie výkonu zamestnancov alebo väčší marketingový systém s profilovaním. Robí sa pred spustením, spolu s zmluvou so spracovateľom.

Súčasťou býva revízia prístupových práv a odpoveď na otázku, kto sa k údajom reálne dostane. Práve tá otázka najčastejšie odhalí, že systém zbiera viac, než ktokoľvek potrebuje.

Typickým prípadom v menšej firme je dochádzkový systém na odtlačok prsta alebo rozpoznávanie tváre. Biometrické údaje patria medzi osobitné kategórie a posúdenie často ukáže, že na evidenciu dochádzky úplne stačí čipová karta, ktorá žiadne citlivé údaje nepotrebuje.

Na čo si dať pozor

Ak z posúdenia vyplynie vysoké zvyškové riziko, ktoré sa nedá znížiť, spracúvanie sa má konzultovať s dozorným úradom. Spustiť ho aj tak znamená pri kontrole sankciu za samotný postup, nie za únik údajov.

Posúdenie nie je jednorazové. Keď firma systém rozšíri, pridá nové údaje alebo presunie spracúvanie k cloudovému poskytovateľovi mimo EÚ, pôvodná DPIA prestáva zodpovedať skutočnosti a pri kontrole sa posudzuje stav, aký je teraz, nie aký bol pri spustení.