Ocena učinka v zvezi z varstvom podatkov
Uvajate nove obdelave osebnih podatkov, novo tehnologijo ali informacijske rešitve za obdelavo podatkov ali večje spremembe in nadgradnje obstoječih obdelav? Zakonodaja v nekaterih primerih zahteva, da pred začetkom obdelave izvedete oceno učinka – DPIA . Tudi kadar DPIA ni obvezna, je lahko najboljši način, da svoje obdelave zares razumete, pravočasno prepoznate tveganja in se odločate brez ugibanja.
V Info hiši DPIA izvajamo po lastni metodi, ki temelji na smernicah Informacijskega pooblaščenca ter dobrih praksah drugih evropskih nadzornih organov in mednarodnih standardih, kot je ISO 29134. Oceno izvedemo z vami in za vas, rezultat pa je jasna slika tveganj in konkretni ukrepi, prilagojeni vaši obdelavi.
Umetna inteligenca, biometrija, videonadzor, sledenje.
Ki razvijajo ali uvajajo nove informacijske rešitve za obdelavo osebnih podatkov.
Za katere je izvedba DPIA zakonsko obvezna.
Bistvene spremembe ali nadgradnje obstoječih obdelav in sistemov.
Ki z izvedeno DPIA strankam dokazujejo skladnost in jo uporabijo kot konkurenčno prednost.
Ki potrebujejo metodološko podporo ali drugo mnenje pri izvedbi.
Izvedba DPIA je obvezna, kadar obstaja verjetnost, da bi obdelava zlasti z uporabo novih tehnologij povzročila veliko tveganje za pravice in svoboščine posameznikov.
DIPA je priporočljiva vedno, kadar
Če ste upravljavec:
Če ste pogodbeni obdelovalec:
V Info hiši DPIA izvajamo po lastni metodi, ki temelji na smernicah Informacijskega pooblaščenca ter dobrih praksah drugih evropskih nadzornih organov in mednarodnih standardih, kot je ISO 29134. Oceno izvedemo z vami in za vas, rezultat pa je jasna slika tveganj in konkretni ukrepi, prilagojeni vaši obdelavi.
Rezultat je izvedena ocena z jasnimi ukrepi in znanje, ki ostane v vaši organizaciji.
DPIA (Data Protection Impact Assessment) je ocena učinka v zvezi z varstvom podatkov — postopek, s katerim pred začetkom obdelave prepoznate tveganja za posameznike in določite ukrepe za njihovo obvladovanje. DPIA opredeljuje 35. člen GDPR, ki določa tudi, v katerih primerih jo je treba izvesti.
DPIA izvedemo skupaj z vami. Vi najbolje poznate svojo organizacijo, procese in obdelave, mi pa vas skozi postopek vodimo z jasno metodologijo, izkušnjami in strokovno presojo.
Najprej spoznamo načrtovano ali obstoječo obdelavo, vaše potrebe in razloge za izvedbo DPIA ter skupaj določimo obseg ocene.
Z vašimi ključnimi sodelavci zberemo potrebne informacije o obdelavi, sistemih, podatkovnih tokovih, vključenih izvajalcih in že vzpostavljenih ukrepih.
Na podlagi zbranih informacij podrobno analiziramo obdelavo ter prepoznamo tveganja, ki jih lahko predstavlja za pravice in svoboščine posameznikov.
Prepoznana tveganja ocenimo skupaj z vami. Pri tem upoštevamo verjetnost njihovega nastanka in resnost možnih posledic ter določimo raven posameznega tveganja.
Pregledamo obstoječe varovalke in skupaj določimo dodatne tehnične in organizacijske ukrepe, potrebne za ustrezno zmanjšanje prepoznanih tveganj.
Po upoštevanju predvidenih ukrepov ocenimo preostala tveganja in pripravimo končno dokumentirano DPIA z ugotovitvami, ukrepi in končno presojo.
Po potrebi vam pomagamo tudi pri izvedbi predlaganih ukrepov, posodobitvi DPIA ob spremembah obdelave ali drugih vprašanjih, ki se pojavijo kasneje.
DPIA je obvezna, kadar obstaja verjetnost, da bi obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov – zlasti pri uporabi novih tehnologij. Informacijski pooblaščenec RS je objavil seznam obdelav, pri katerih je DPIA vedno obvezna. Vendar ta seznam ni izčrpen: DPIA je lahko obvezna tudi pri obdelavi, ki je na seznamu ni, če bi glede na svoje značilnosti lahko pomenila veliko tveganje za posameznike.
Da. DPIA ni namenjena samo novim obdelavam. Če pri obstoječi obdelavi DPIA še ni bila izvedena, je treba preveriti, ali bi jo glede na tveganja morali izvesti. Poleg tega je potrebna izvedba DPIA, kadar za obstoječe obdelave osebnih podatkov implementiramo novo informacijsko rešitev. Če DPIA že imate, pa jo je ob pomembnih spremembah obdelave treba ponovno pregledati in po potrebi posodobiti. Ključno je, da DPIA vedno odraža dejansko obdelavo in trenutna tveganja obdelave.
Najprej določimo ukrepe za njegovo zmanjšanje in ocenimo raven tveganja z upoštevanjem teh ukrepov. Če tveganja tudi z ukrepi ni mogoče ustrezno omejiti, je pred začetkom obdelave potrebno predhodno posvetovanje z Informacijskim pooblaščencem. Tudi skozi ta postopek vas lahko vodimo in ga izpeljemo skupaj z vami.
Seveda. DPIA lahko izvedete tudi sami, pomembno pa je, da je ocena celovita in ustrezno dokumentirana. Njena izvedba običajno zahteva povezovanje pravnega, tehničnega in praktičnega poznavanja obdelave ter sistematično prepoznavanje in ocenjevanje tveganj. Če ste DPIA že začeli in potrebujete pomoč pri posameznih korakih ali strokovno drugo mnenje, jo lahko skupaj dokončamo.
Obveznost izvedbe je na upravljavcu, a obdelovalci pri njej sodelujete. Lastna izvedena DPIA vam poleg tega olajša dokazovanje skladnosti strankam — vse pogosteje jo zahtevajo že v razpisih.
Čim prej v procesu načrtovanja nove obdelave ali rešitve. DPIA je najbolj koristna takrat, ko je na zasnovo obdelave še mogoče vplivati in pravočasno vključiti potrebne ukrepe za zmanjševanje tveganj obdelave osebnih podatkov. Ne čakajte torej na trenutek, ko je nova rešitev že pripravljena za uporabo.
Za začetek predvsem informacije o obdelavi in dostop do sodelavcev, ki jo dobro poznajo. Obstoječo dokumentacijo, opise sistemov, pogodbe in druge relevantne informacije pregledamo skupaj ter sproti ugotovimo, kaj še potrebujemo. Ni treba, da imate pred začetkom vse že zbrano in urejeno.
Odvisno od obdelave. Običajno vključimo osebe, ki najbolje poznajo proces in način uporabe osebnih podatkov. To so lahko: IT služba, informacijsko varnost, pravno službo, DPO ali zunanje izvajalce. Ni treba, da vsi sodelujejo pri vsakem koraku, pomembno pa je, da imamo za oceno na voljo prave informacije.
