Poveikio duomenų apsaugai vertinimas yra nauja procedūra, kurią įvedė Bendrasis duomenų apsaugos reglamentas (BDAR). Šios procedūros tikslas – užtikrinti, kad būtų laikomasi atskaitomybės principo bei kitų BDAR reikalavimų. Daugiau informacijos apie poveikio duomenų apsaugai vertinimą bei atvejus, kuomet ši procedūra yra privaloma, galite rasti paspaudę ant šios nuorodos. Poveikio duomenų apsaugai vertinimo metu yra analizuojama konkreti duomenų tvarkymo priemonė – nustatoma ar ši priemonė kelia dideles rizikas fizinių asmenų teisėms ir laisvėms bei pateikiamos rekomendacijos, kaip sumažinti nustatytas rizikas, o jei priemonių rizikai sumažinti nėra – rekomenduojamos išankstinės konsultacijos su Valstybine duomenų apsaugos inspekcija. Mūsų pagalba atliekant poveikio duomenų apsaugai vertinimą apima:
- Pirminę neatlygintiną konsultaciją, ar Jums reikalinga atlikti poveikio duomenų apsauga vertinimą;
- jei nustatomas tokio vertinimo poreikis, pateikiame Jums pasiūlymą, kurį galite aptarti su mūsų komanda;
- parengiame specialų klausimyną poveikio vertinimui atlikti;
- jei yra galimybė, susipažįstame gyvai su vertinama asmens duomenų tvarkymo priemone;
- surinktos informacijos pagrindu, atliekame poveikio duomenų apsaugai vertinimą;
- poveikio duomenų apsaugai vertinimo rezultatas – poveikio duomenų apsaugai vertinimo aktas su rizikų mažinimo arba išankstinių konsultacijų su Valstybine duomenų apsaugos inspekcija rekomendacijomis;
Susiekite su mumis dėl neatlygintinos konsultacijos, užpildydami dešinėje šio puslapio pusėje esančią formą.
Susisiekite
Pasitikrinkite patys
Praktinis žingsnis po žingsnio vadovas yra Linden kuriamoje Privacio svetainėje: Kada reikia poveikio duomenų apsaugai vertinimo (DPIA)?. Ten pat galite pasitikrinti, ar Jūsų organizacijai privalomas tvarkymo veiklų registras: Privacio įrankis.
Dažni klausimai
Kada poveikio duomenų apsaugai vertinimas yra privalomas?
Kai dėl duomenų tvarkymo rūšies — ypač naudojant naujas technologijas — žmonių teisėms gali kilti didelis pavojus. Vertinimas atliekamas **prieš** pradedant tvarkyti duomenis. Reglamentas tris atvejus įvardija tiesiogiai: sistemingas ir išsamus asmeninių aspektų vertinimas automatizuotu būdu, specialių kategorijų duomenų tvarkymas dideliu mastu ir sistemingas viešos vietos stebėjimas dideliu mastu. Be to, priežiūros institucija sudaro savo privalomų atvejų sąrašą.
Kokios duomenų tvarkymo operacijos Lietuvoje visada reikalauja poveikio vertinimo?
VDAI yra patvirtinusi dešimties punktų sąrašą. Tarp jų — biometrinių duomenų tvarkymas stebėsenos ar kontrolės tikslais, genetinių duomenų tvarkymas vertinant asmens savybes, tam tikri vaizdo stebėjimo atvejai, pokalbių telefonu įrašymas, vaikų duomenų tvarkymas tiesioginės rinkodaros tikslais ir darbuotojų stebėsena. Svarbu: pats įsakymas nurodo, kad sąrašas nėra baigtinis — jame nesančiai operacijai vertinimo vis tiek gali prireikti pagal bendrą BDAR 35 straipsnio kriterijų.
Ar vaizdo stebėjimui reikia atlikti poveikio duomenų apsaugai vertinimą?
Ne visada, bet labai dažnai. VDAI sąraše vaizdo stebėjimas įvardytas trimis atvejais: kai stebimos patalpos ar teritorijos, kurios nėra duomenų valdytojo valdomos; kai stebima sveikatos priežiūros, socialinės globos, įkalinimo ar kitose įstaigose, kuriose paslaugos teikiamos pažeidžiamiems asmenims; ir kai vaizdas įrašomas kartu su garsu. Atskirai sąraše nurodyta darbuotojų stebėsena.
Ar darbuotojų stebėsenai reikia poveikio duomenų apsaugai vertinimo?
Taip. Tai atskiras VDAI sąrašo punktas ir jis platus: apima vaizdo ir garso duomenų tvarkymą darbo vietoje ir patalpose ar teritorijose, kuriose dirba darbuotojai, taip pat duomenų, susijusių su darbuotojų komunikacijos, elgesio, vietos ar judėjimo stebėsena, tvarkymą. Į tai patenka GPS sekimas, įėjimo kontrolė su veido atpažinimu, alkotesteriai su vaizdo fiksavimu ir darbo kompiuterio stebėsenos priemonės.
Kas privalo atlikti poveikio duomenų apsaugai vertinimą – duomenų valdytojas ar duomenų tvarkytojas?
Pareiga tenka duomenų valdytojui. Tvarkytojas gali ir dažnai turi prisidėti — pateikti sistemos aprašymą, saugumo priemones, subtiekėjų sąrašą — bet pareiga atlikti vertinimą lieka valdytojui. Tiekėjo jau atliktas vertinimas jūsų pareigos nepakeičia, nes jis vertino savo, o ne jūsų tvarkymo kontekstą; jį galima naudoti kaip įvesties medžiagą.
Ar atliekant poveikio vertinimą reikia įtraukti duomenų apsaugos pareigūną?
Taip, jeigu pareigūnas paskirtas. Reglamentas reikalauja, kad valdytojas su juo konsultuotųsi. Pareigūno užduotis — paprašius konsultuoti dėl vertinimo ir stebėti jo atlikimą. Jeigu pareigūno nėra ir jis neprivalomas, vertinimą galima atlikti be jo, bet konsultacijos faktą arba jos nebuvimą verta užfiksuoti pačiame vertinimo akte.
Ką daryti, jei po poveikio vertinimo lieka didelė rizika?
Tuomet prieš pradedant tvarkyti duomenis privaloma kreiptis į priežiūros instituciją dėl išankstinės konsultacijos. Institucija, jeigu mano, kad numatytas tvarkymas pažeistų reglamentą, ne vėliau kaip per aštuonias savaites nuo prašymo pateikia rašytines rekomendacijas; šis terminas dėl sudėtingumo gali būti pratęstas dar šešioms savaitėms. Todėl liekamoji didelė rizika yra ne tik teisinis, bet ir grafiko klausimas.
Kaip vyksta poveikio duomenų apsaugai vertinimas ir ką turi pateikti organizacija?
Pirma — neatlygintina konsultacija, ar vertinimas apskritai reikalingas. Tada parengiamas specialus klausimynas, kurį užpildo organizacija, o trūkstama informacija patikslinama žodžiu. Surinkta informacija vertinama duomenų apsaugos kontekste ir parengiamas vertinimo aktas. Iš organizacijos reikia veiklos aprašymo, sistemų ir duomenų srautų paaiškinimo; vaizdo stebėjimo atveju — kamerų išdėstymo schemų, matymo laukų ir stebimų zonų aprašymų.
Ar vertintojams reikia atvykti į mūsų patalpas?
Paprastai ne. Pakanka jūsų pateiktų schemų ir aprašymų — kamerų išdėstymo, matymo laukų, stebimų zonų, sistemų ir duomenų srautų. Jeigu objektas neįprastas arba klausimų lieka per daug, apžiūra gali padėti, bet ji nėra būtina vertinimo sąlyga.
Koks yra poveikio duomenų apsaugai vertinimo rezultatas?
Rezultatas — poveikio duomenų apsaugai vertinimo aktas. Jame aprašomos numatytos tvarkymo operacijos ir jų tikslai, įvertinamas reikalingumas ir proporcingumas, įvertinami pavojai žmonių teisėms ir nurodomos priemonės tiems pavojams pašalinti. Jeigu rizikos sumažinti nepavyksta, akte rekomenduojama išankstinė konsultacija su priežiūros institucija.
Ar vienas poveikio vertinimas gali apimti kelias panašias duomenų tvarkymo operacijas?
Taip. Reglamentas tai leidžia tiesiogiai: panašius didelius pavojus keliančių operacijų sekai išnagrinėti galima atlikti vieną vertinimą. Praktikoje operacijos grupuojamos pagal rizikos lygį — pavyzdžiui, kelios to paties tipo kameros vienoje teritorijoje vertinamos kartu, o biometrinė sistema vertinama atskirai, nes jos rizikos pobūdis kitas.
Ar poveikio vertinimą reikia kartoti, kai pasikeičia sistema ar procesas?
Reglamentas reikalauja prireikus atlikti peržiūrą, ar duomenys tvarkomi laikantis atlikto vertinimo — bent tada, kai pakinta operacijų keliamas pavojus. Praktinis signalas: nauja funkcija, naujos kameros, naujas tiekėjas, kitas duomenų kiekis arba kita duomenų subjektų grupė. Jeigu rizika nepakito, kartoti viso vertinimo nereikia — pakanka užfiksuoti peržiūrą.
Ar poveikio duomenų apsaugai vertinimą reikia pateikti priežiūros institucijai?
Savaime — ne. Vertinimas yra vidinis dokumentas ir atskaitomybės įrodymas. Institucijai jis teikiamas dviem atvejais: kai kreipiamasi dėl išankstinės konsultacijos dėl likusios didelės rizikos, ir kai institucija jo paprašo per patikrinimą. Todėl vertinimą reikia turėti prieinamą ir aktualų, o ne tik vieną kartą atliktą.
Įrašinėjame pokalbius telefonu. Ar mums reikia vertinimo?
Pokalbių telefonu įrašymas yra atskiras punktas privalomų vertinimų sąraše, todėl beveik visada taip.
Jau tvarkome duomenis be vertinimo. Ką daryti?
Atlikti jį dabar. Vertinimo išvados gali pareikalauti pakeisti tai, kas jau veikia, todėl atidėliojimas didina kainą, o ne ją mažina.
Ar vertinimą galime atlikti patys?
Taip, tai valdytojo pareiga, o ne advokato monopolis. Praktinis skirtumas paprastai atsiranda ties proporcingumo vertinimu ir ties sprendimu, ar reikia kreiptis į inspekciją.