Оценка воздействия на защиту данных (DPIA): когда и как

Коротко: Для обработки с высоким риском для субъектов данных нужно заранее провести DPIA: описать риски, оценить их и снизить мерами.

Подробнее: GDPR (ст. 35) требует оценку воздействия на защиту данных, когда обработка вероятно создаёт высокий риск для прав и свобод физических лиц, например из-за новых технологий, масштаба или чувствительности. Она обязательна до начала обработки. Это общая информация, а не юридическая консультация; законы меняются, а отдельные случаи могут отличаться. При конкретных проблемах помогает консультация (консультации для потребителей, адвокат, орган по защите данных).

Подробности

Когда это необходимо?

Типичные случаи (ст. 35(3) GDPR и списки надзорных органов):

• Масштабное профилирование со значимыми решениями (скоринг).
• Масштабная обработка особых категорий (здоровье, биометрические данные, политические взгляды).
• Систематический масштабный мониторинг общественных мест (видеонаблюдение).
• Новые технологии с высоким риском (системы принятия решений ИИ, комплексные решения отслеживания).
• Надзорные органы публикуют обязательные списки о том, требует ли определённая обработка DPIA. Малых предприятий это часто не касается, но они должны проверить и задокументировать («анализ порога»).

Порядок

1. Опишите обработку: данные, цели, стороны, потоки данных, срок хранения.
2. Обоснуйте необходимость и соразмерность: правовое основание, минимизация данных.
3. Выявите риски для субъектов данных (дискриминация, кража личности, потеря контроля, финансовый ущерб) и оцените по вероятности и тяжести.
4. Определите меры по устранению (шифрование, псевдонимизация, права доступа, сроки удаления, прозрачность).
5. Оцените остаточный риск. Если он остаётся высоким, надзорный орган нужно заранее проконсультировать (ст. 36).
6. Документируйте и регулярно пересматривайте. Привлеките уполномоченного по защите данных (если есть) и, где разумно, субъектов данных или представителей.

Помощь и практика

Шаблоны и инструменты предлагают надзорные органы, BfDI, CNIL (инструмент PIA), Стандартная модель защиты данных (SDM) и объединения. DPIA — непрерывный процесс, а не обязательное упражнение: проверяйте заново при изменении проекта. Для малых проектов (например, приложения клуба) краткий обзор рисков по той же схеме часто окупается. Она связана с реестром действий по обработке и TOM.

Типичные ошибки

Слишком поздний старт (после начала обработки), слишком общие формулировки, оценка рисков только для компании вместо субъектов данных, невыполнение мер, неактуальность результата.

См. также: Реестр действий по обработке, Принципы GDPR, Утечка данных и обязанность уведомления, Анализ рисков