DPIA: задължителна, когато обработването създава висок риск

Оценката на въздействието върху защитата на данните (ОВЗД) е структуриран процес за установяване и свеждане до минимум на рисковете за защитата на данните, преди да започнете обработването. Тя не е доброволна добра практика — член 35 от GDPR я прави задължителна винаги когато има вероятност обработването да породи висок риск за правата и свободите на физическите лица. Обичайните основания включват систематично наблюдение на хора (напр. видеонаблюдение в търговски център), мащабно обработване на специални категории данни (здравни данни, биометрични данни, политически възгледи) или използване на нови технологии по новаторски начини (напр. профилиране чрез AI за оценяване на кредитоспособността). Основното разграничение е следното: за обработване с нисък риск, като например бюлетин за служителите, не е необходима ОВЗД, но при обработване с висок риск тя винаги е задължителна.

За да разпознаете бързо въпрос за ОВЗД, търсете в описания казус ключови думи като „систематично“, „мащабно“, „чувствителни данни“ или „нова технология“. Ако обработването включва профилиране, проследяване на местоположението или оценяване на хора (напр. на трудовото им представяне), това е предупредителен знак за висок риск. Полезен метод за елиминиране на отговори: ако във въпроса ОВЗД е посочена като незадължителна, това почти сигурно е грешно, когато фактите сочат висок риск. Друг ориентир: ОВЗД трябва да бъде извършена преди началото на обработването, а не след настъпването на нарушение на сигурността на данните — следователно подвеждащ отговор, свързан с времевата последователност, може да се опита да я представи като реактивна мярка.

Запомнете основанията чрез „HIGH“ — H за здравни/биометрични данни (health/biometric data), I за новаторска технология (innovative technology), G за мащабно събиране (large-scale gathering), H за високорисково профилиране (high-risk profiling). Ако е налице някое от тях, ОВЗД е задължителна, а не просто желателна. За да проверите знанията си, се запитайте: „Би ли накарало това обработване един разумен човек да се тревожи за неприкосновеността на личния си живот?“. Ако отговорът е „да“, се изисква ОВЗД.