DPIA: obligatorie atunci când prelucrarea generează un risc ridicat

O evaluare a impactului asupra protecției datelor (DPIA) este un proces structurat pentru identificarea și reducerea la minimum a riscurilor legate de protecția datelor înainte de începerea prelucrării. Nu este o bună practică voluntară — articolul 35 din GDPR o impune ori de câte ori prelucrarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice. Printre factorii declanșatori obișnuiți se numără monitorizarea sistematică a persoanelor (de exemplu, supravegherea CCTV într-un centru comercial), prelucrarea pe scară largă a unor categorii speciale de date (date privind sănătatea, date biometrice, opinii politice) sau utilizarea în moduri noi a unor tehnologii noi (de exemplu, crearea de profiluri cu ajutorul AI pentru evaluarea bonității). Contrastul esențial: prelucrările cu risc scăzut, precum un buletin informativ pentru personal, nu necesită o DPIA, însă prelucrările cu risc ridicat necesită întotdeauna una.

Pentru a identifica rapid o întrebare despre DPIA, căutați în scenariu cuvinte-cheie precum „sistematic”, „pe scară largă”, „date sensibile” sau „tehnologie nouă”. Dacă prelucrarea implică crearea de profiluri, urmărirea localizării sau evaluarea persoanelor (de exemplu, a performanței la locul de muncă), acesta este un semnal de alarmă privind existența unui risc ridicat. Un truc util de eliminare: dacă întrebarea prezintă DPIA ca fiind opțională, această variantă este aproape sigur greșită atunci când faptele indică un risc ridicat. Un alt indiciu: DPIA trebuie efectuată înainte de începerea prelucrării, nu după producerea unei încălcări — prin urmare, o capcană legată de cronologie ar putea încerca să o prezinte drept măsură reactivă.

Rețineți factorii declanșatori prin acronimul „HIGH” — H pentru date privind sănătatea/date biometrice (health/biometric data), I pentru tehnologie inovatoare (innovative technology), G pentru colectare pe scară largă (large-scale gathering), H pentru crearea de profiluri cu risc ridicat (high-risk profiling). Dacă apare oricare dintre aceștia, DPIA este obligatorie, nu doar de dorit. Pentru a vă testa, întrebați-vă: „Această prelucrare ar face ca o persoană rezonabilă să fie îngrijorată cu privire la viața sa privată?” Dacă da, este necesară o DPIA.