GDPR: Firmy môžu mať povinnosť posudzovať vplyvy spracovania údajov

Táto povinnosť vzniká, ak spracovanie znamená veľké riziká. „Ak typ spracúvania, najmä s využitím nových technológií a s ohľadom na povahu, rozsah, kontext a účely spracúvania pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, prevádzkovateľ pred spracúvaním vykoná posúdenie vplyvu plánovaných spracovateľských operácií na ochranu osobných údajov. Pre súbor podobných spracovateľských operácií, ktoré predstavujú podobné vysoké riziká, môže byť dostatočné jedno posúdenie,“ hovorí nariadenie GDPR.

Posúdenie vplyvu je potrebné vykonať najmä v prípade:

• systematického a rozsiahleho hodnotenia osobných aspektov týkajúcich sa fyzických osôb, ktoré je založené na automatizovanom spracúvaní vrátane profilovania a z ktorého vychádzajú rozhodnutia s právnymi účinkami týkajúcimi sa fyzickej osoby alebo s podobne závažným vplyvom na ňu
• spracúvania osobitných kategórií údajov alebo osobných údajov týkajúcich sa uznania viny za trestné činy a priestupky vo veľkom rozsahu
• systematického monitorovania verejne prístupných miest vo veľkom rozsahu

GDPR zároveň určuje, čo by malo posúdenie vplyvu obsahovať. Ide o systematický opis plánovaných spracovateľských operácií a účely spracúvania, vrátane prípadného oprávneného záujmu spoločnosti ako prevádzkovateľa, tiež posúdenie nutnosti a primeranosti spracovateľských operácií vo vzťahu k účelu a posúdenie rizika pre práva a slobody dotknutých osôb. Posúdenie vplyvu sa týka aj opatrení na riešenie rizík vrátane záruk, bezpečnostných opatrení a mechanizmov na zabezpečenie ochrany osobných údajov a na preukázanie súladu s GDPR.

Do 25. mája 2018 by spoločnosti mali:

• preskúmať, aké spracovateľské operácie vykonávajú, s akými osobnými údajmi a v akom rozsahu
• vypracovať posúdenie vplyvu, ak im v zmysle GDPR vznikne táto povinnosť
• zabezpečiť aktualizáciu tohto dokumentu v prípade zmeny v spracovateľských operáciách