Оцінка впливу на захист даних (DPIA): коли і як

Коротко: Для обробки з високим ризиком для суб’єктів даних потрібно заздалегідь провести DPIA: описати ризики, оцінити їх і знизити заходами.

Докладніше: GDPR (ст. 35) вимагає оцінку впливу на захист даних, коли обробка імовірно створює високий ризик для прав і свобод фізичних осіб, наприклад через нові технології, масштаб чи чутливість. Вона обов’язкова до початку обробки. Це загальна інформація, а не юридична консультація; закони змінюються, а окремі випадки можуть відрізнятися. За конкретних проблем допомагає консультація (консультації для споживачів, адвокат, орган із захисту даних).

Подробиці

Коли це необхідно?

Типові випадки (ст. 35(3) GDPR та списки наглядових органів):

• Масштабне профілювання зі значущими рішеннями (скоринг).
• Масштабна обробка особливих категорій (здоров’я, біометричні дані, політичні погляди).
• Систематичний масштабний моніторинг громадських місць (відеоспостереження).
• Нові технології з високим ризиком (системи ухвалення рішень ШІ, комплексні рішення відстеження).
• Наглядові органи публікують обов’язкові списки щодо того, чи потребує певна обробка DPIA. Малих підприємств це часто не стосується, але вони мають перевірити й задокументувати («аналіз порога»).

Порядок

1. Опишіть обробку: дані, цілі, сторони, потоки даних, строк зберігання.
2. Обґрунтуйте необхідність і співмірність: правова підстава, мінімізація даних.
3. Виявіть ризики для суб’єктів даних (дискримінація, крадіжка особистості, втрата контролю, фінансова шкода) та оцініть за ймовірністю й тяжкістю.
4. Визначте заходи усунення (шифрування, псевдонімізація, права доступу, строки видалення, прозорість).
5. Оцініть залишковий ризик. Якщо він залишається високим, наглядовий орган потрібно заздалегідь проконсультувати (ст. 36).
6. Документуйте та регулярно переглядайте. Залучіть уповноваженого із захисту даних (якщо є) і, де розумно, суб’єктів даних чи представників.

Допомога й практика

Шаблони й інструменти пропонують наглядові органи, BfDI, CNIL (інструмент PIA), Стандартна модель захисту даних (SDM) та об’єднання. DPIA — безперервний процес, а не обов’язкова вправа: перевіряйте заново, коли змінюється проєкт. Для малих проєктів (наприклад, застосунку клубу) короткий огляд ризиків за тією самою схемою часто окупається. Вона пов’язана з реєстром дій з обробки та TOM.

Типові помилки

Надто пізній старт (після початку обробки), надто загальні формулювання, оцінка ризиків лише для компанії замість суб’єктів даних, невиконання заходів, неактуальність результату.

Див. також: Реєстр дій з обробки, Принципи GDPR, Витік даних і обов’язок повідомлення, Аналіз ризиків