Što je procjena učinka na zaštitu podataka
Procjena učinka strukturirani je postupak kojim se:
- opisuje planirana obrada i procjenjuje je li nužna i proporcionalna svrsi
- utvrđuju rizici za prava i slobode pojedinaca čiji se podaci obrađuju
- određuju mjere kojima se ti rizici smanjuju
Procjena se provodi prije početka obrade, u fazi planiranja novog sustava, aplikacije ili postupka, kad je promjene još moguće provesti bez velikog troška. Riječ je o riziku za pojedince, primjerice za zaposlenike, klijente ili korisnike, a ne o poslovnom riziku tvrtke.
Za procjenu odgovara voditelj obrade. Ako je imenovan službenik za zaštitu podataka, voditelj mora zatražiti njegov savjet (čl. 35. st. 2.).
Kada je procjena učinka obvezna
Slučajevi iz čl. 35. st. 3. GDPR-a
- Sustavna i opsežna procjena osobnih aspekata pojedinaca temeljena na automatiziranoj obradi, uključujući izradu profila, na temelju koje se donose odluke s pravnim ili sličnim značajnim učinkom.
- Opsežna obrada posebnih kategorija podataka, primjerice podataka o zdravlju, ili podataka o kaznenim osudama i kažnjivim djelima.
- Sustavno praćenje javno dostupnog područja u velikoj mjeri.
Popis AZOP-a
Agencija za zaštitu osobnih podataka Odlukom od 21. prosinca 2018. objavila je popis vrsta obrade za koje je procjena učinka obvezna. Uz slučajeve iz GDPR-a, procjena je obvezna pri:
| Vrsta obrade | |
|---|---|
| 1 | sustavnom i opsežnom profiliranju ili automatiziranom odlučivanju koje znatno utječe ili može utjecati na pojedinca ili služi za odluku o njegovu pristupu usluzi ili pogodnosti |
| 2 | obradi posebnih kategorija podataka u svrhu profiliranja ili automatiziranog odlučivanja |
| 3 | obradi podataka djece radi profiliranja, automatiziranog odlučivanja, marketinga ili izravne ponude usluga namijenjenih djeci |
| 4 | obradi podataka prikupljenih od trećih strana koji se koriste za odluku o sklapanju, raskidu, odbijanju ili produljenju ugovora o pružanju usluga fizičkim osobama |
| 5 | opsežnoj obradi posebnih kategorija podataka ili podataka o kaznenoj ili prekršajnoj odgovornosti |
| 6 | sustavnom nadzoru javno dostupnih mjesta u velikom opsegu |
| 7 | uporabi novih tehnologija, primjerice interneta stvari, pametnih uređaja i pametnih mjerača, za analizu ili predviđanje ekonomske situacije, zdravlja, osobnih preferencija ili interesa, pouzdanosti, ponašanja, lokacije ili kretanja osoba |
| 8 | obradi biometrijskih podataka uz barem još jedan kriterij visokog rizika iz smjernica WP 248 |
| 9 | obradi genetskih podataka uz barem još jedan kriterij visokog rizika iz smjernica WP 248 |
| 10 | povezivanju, usporedbi ili provjeri podudarnosti podataka iz više izvora |
| 11 | praćenju lokacije ili ponašanja pojedinca sustavnom obradom komunikacijskih podataka, primjerice GSM, GPS ili Wi-Fi |
| 12 | uporabi uređaja i tehnologija kod kojih incident može ugroziti zdravlje osoba |
| 13 | obradi podataka zaposlenika aplikacijama ili sustavima za praćenje rada, kretanja ili komunikacije |
AZOP naglašava da popis nije konačan: procjena je uvijek potrebna kad je vjerojatno da će obrada prouzročiti visok rizik.
Kriteriji visokog rizika (smjernice WP 248)
Smjernice europskih nadzornih tijela o procjeni učinka (WP 248 rev. 01) navode devet kriterija:
- procjena ili bodovanje, uključujući izradu profila
- automatizirano donošenje odluka s pravnim ili sličnim značajnim učinkom
- sustavno praćenje
- osjetljivi podaci ili podaci vrlo osobne prirode
- obrada podataka u velikoj mjeri
- povezivanje ili kombiniranje skupova podataka
- podaci o ranjivim ispitanicima, primjerice djeci ili zaposlenicima
- inovativna uporaba ili primjena novih tehnoloških ili organizacijskih rješenja
- obrada koja ispitanicima onemogućuje ostvarivanje prava ili korištenje usluge ili ugovora
Prema smjernicama, obrada koja ispunjava dva ili više kriterija u pravilu zahtijeva procjenu učinka.
Kada procjena nije potrebna
Prema smjernicama WP 248, procjena nije potrebna kad nije vjerojatno da će obrada prouzročiti visok rizik ili kad je vrlo slična obradi za koju je procjena već provedena. GDPR (čl. 35. st. 10.) izuzima i obradu koja se temelji na propisu za koji je procjena učinka provedena pri njegovu donošenju. Odluku da procjena nije potrebna korisno je zabilježiti s obrazloženjem.
Obvezni sadržaj procjene (čl. 35. st. 7.)
| Element | Što sadrži |
|---|---|
| Opis obrade | sustavni opis postupaka obrade i svrha, uključujući legitimni interes ako je pravna osnova |
| Nužnost i proporcionalnost | procjena jesu li postupci obrade nužni i proporcionalni u odnosu na svrhu |
| Procjena rizika | procjena rizika za prava i slobode ispitanika |
| Mjere | mjere za smanjenje rizika, zaštitne mjere i mehanizmi kojima se osigurava zaštita podataka i dokazuje usklađenost s GDPR-om |
Jedna procjena može obuhvatiti skup sličnih postupaka obrade sa sličnim visokim rizicima (čl. 35. st. 1.).
Kako provesti procjenu učinka: koraci
1. Opišite obradu
Koje podatke prikupljate, o kome, iz kojih izvora, u koju svrhu, na kojoj pravnoj osnovi, koliko dugo ih čuvate, tko im ima pristup i kojim ih izvršiteljima obrade povjeravate? Prikažite tijek podataka kroz sustave.
2. Procijenite nužnost i proporcionalnost
Je li obrada doista potrebna za svrhu i postoji li način da se ista svrha postigne s manje podataka ili manje zadiranja u privatnost? Provjerite pravnu osnovu, smanjenje količine podataka, rok čuvanja i način ostvarivanja prava ispitanika.
3. Utvrdite i ocijenite rizike
Za svaki rizik, primjerice neovlašteni pristup, gubitak podataka, diskriminaciju zbog profiliranja ili gubitak kontrole nad podacima, ocijenite vjerojatnost i ozbiljnost posljedica za pojedince. Jednostavna ljestvica (nizak, srednji, visok) obično je dovoljna.
4. Odredite mjere
Za svaki značajan rizik odredite mjeru: pseudonimizaciju ili šifriranje, kontrolu pristupa i višefaktorsku autentifikaciju, kraći rok čuvanja, dodatno informiranje ispitanika ili odustajanje od dijela obrade koji nije nužan.
5. Ocijenite preostali rizik i odlučite
Nakon mjera ocijenite koliki rizik ostaje. Ako je prihvatljiv, obrada može započeti. Ako bi obrada i dalje dovela do visokog rizika, prije početka obrade potrebno je prethodno savjetovanje s AZOP-om.
6. Pratite i preispitujte
Procjenu treba preispitati najmanje kad se promijeni rizik obrade (čl. 35. st. 11.), primjerice zbog nove svrhe, novog sustava, novog izvršitelja obrade ili većeg opsega.
Prema potrebi, voditelj obrade traži i mišljenje ispitanika ili njihovih predstavnika o planiranoj obradi (čl. 35. st. 9.), primjerice radničkog vijeća pri uvođenju sustava za praćenje zaposlenika.
Prethodno savjetovanje s AZOP-om (čl. 36.)
Ako procjena pokaže da bi obrada bez mjera za smanjenje rizika dovela do visokog rizika, voditelj se prije početka obrade mora savjetovati s AZOP-om. AZOP-u dostavlja, među ostalim, procjenu učinka, svrhe i sredstva obrade, predviđene mjere i podatke za kontakt službenika za zaštitu podataka.
Ako AZOP smatra da bi obrada kršila GDPR, u roku od osam tjedana od zaprimanja zahtjeva voditelju daje pisani savjet. Taj se rok, ovisno o složenosti obrade, može produljiti za još šest tjedana.
Procjena učinka u pravilu se ne dostavlja AZOP-u. Čuva se kao dokaz usklađenosti i predočuje na zahtjev.
Primjer: aplikacija za praćenje terenskih radnika
Tvrtka uvodi mobilnu aplikaciju koja bilježi lokaciju, vrijeme rada i izvršene zadatke 40 terenskih radnika. Obrada je na popisu AZOP-a (praćenje lokacije i praćenje zaposlenika), pa je procjena obvezna.
| Korak | Nalaz |
|---|---|
| Opis obrade | GPS lokacija, vrijeme aktivnosti i zadaci; pohrana kod pružatelja usluga u oblaku 12 mjeseci; pristup imaju voditelji timova i kadrovska služba |
| Nužnost | svrha je planiranje ruta i obračun rada; za to nije potrebno stalno praćenje, nego bilježenje lokacije pri početku i završetku zadatka |
| Rizici | osjećaj stalnog nadzora, praćenje izvan radnog vremena, zlouporaba podataka o kretanju, curenje podataka |
| Mjere | bilježenje lokacije samo pri početku i završetku zadatka, rok čuvanja skraćen na tri mjeseca, pristup ograničen po ulogama, šifriranje, ugovor o obradi s pružateljem aplikacije, obavijest radnicima, savjetovanje s radničkim vijećem |
| Ishod | uz mjere preostali rizik je prihvatljiv; procjena se preispituje jednom godišnje i pri svakoj promjeni aplikacije |
Procjena učinka i umjetna inteligencija
Sustavi umjetne inteligencije koji obrađuju osobne podatke, primjerice za odabir kandidata, procjenu kreditne sposobnosti ili analizu ponašanja korisnika, često ispunjavaju više kriterija visokog rizika istodobno: profiliranje, automatizirano odlučivanje, nove tehnologije i velik opseg.
Akt o umjetnoj inteligenciji za određene subjekte koji uvode visokorizične sustave umjetne inteligencije uvodi i procjenu učinka na temeljna prava (čl. 27.). Ta procjena ne zamjenjuje procjenu učinka prema GDPR-u, nego je nadopunjuje. AZOP je na svojoj stranici objavio metodologiju za provedbu te procjene. Više u članku Akt o umjetnoj inteligenciji: obveze za tvrtke.
Najčešće pogreške
- procjena se provodi nakon uvođenja sustava, kad su izmjene skupe ili nemoguće
- procjenjuje se rizik za tvrtku, a ne za pojedince
- procjena je prepisana iz predloška i ne opisuje stvarnu obradu
- predložene mjere nisu provedene
- procjena se ne preispituje nakon promjene obrade
- službenik za zaštitu podataka nije uključen
Često postavljana pitanja
Što je DPIA?
DPIA (procjena učinka na zaštitu podataka) postupak je iz čl. 35. GDPR-a kojim voditelj obrade prije početka obrade procjenjuje rizike za prava i slobode pojedinaca i određuje mjere za njihovo smanjenje.
Kada je procjena učinka obvezna?
Kad je vjerojatno da će obrada prouzročiti visok rizik za prava i slobode pojedinaca, a posebno u slučajevima iz čl. 35. st. 3. GDPR-a i s popisa AZOP-a, primjerice pri praćenju zaposlenika, praćenju lokacije, obradi biometrijskih podataka uz još jedan kriterij rizika ili opsežnoj obradi podataka o zdravlju.
Treba li procjenu učinka slati AZOP-u?
U pravilu ne. Procjena se čuva interno. AZOP-u se voditelj obraća samo radi prethodnog savjetovanja, ako bi obrada bez mjera za smanjenje rizika dovela do visokog rizika.
Postoji li obrazac za procjenu učinka?
GDPR ne propisuje obvezni obrazac, ali procjena mora sadržavati elemente iz čl. 35. st. 7. AZOP je na svojoj stranici objavio obrazac za procjenu učinka i vodič za male i srednje poduzetnike.
Tko provodi procjenu učinka?
Za procjenu odgovara voditelj obrade. U praksi je izrađuju vlasnik procesa, IT i osoba zadužena za zaštitu podataka, a službenik za zaštitu podataka, ako je imenovan, daje savjet i prati provedbu.
Može li jedna procjena obuhvatiti više obrada?
Može, ako je riječ o skupu sličnih postupaka obrade sa sličnim visokim rizicima, primjerice uvođenju istog sustava na više lokacija.
Što ako tvrtka ne provede obveznu procjenu učinka?
Neprovođenje obvezne procjene učinka povreda je GDPR-a za koju su propisane upravne novčane kazne do 10 milijuna eura ili 2 % ukupnog godišnjeg prometa na svjetskoj razini, ovisno o tome koji je iznos veći.
Povezani članci
- Što je GDPR? Značenje, načela i obveze tvrtki
- Videonadzor i GDPR: pravila za tvrtke u Hrvatskoj
- Ugovor o obradi osobnih podataka (DPA)
- Akt o umjetnoj inteligenciji: obveze za tvrtke
Izvori
- Opća uredba o zaštiti podataka (EU) 2016/679, čl. 35. i 36., EUR-Lex
- AZOP: Odluka o uspostavi i javnoj objavi popisa vrsta postupaka obrade koje podliježu zahtjevu za procjenu učinka na zaštitu podataka
- AZOP: Procjena učinka na zaštitu podataka, obrazac i vodič za male i srednje poduzetnike
- Smjernice o procjeni učinka na zaštitu podataka (WP 248 rev. 01)
Ovaj je članak informativne naravi i nije pravni savjet.