Kada je obvezna
GDPR (čl. 35. st. 3.) izričito traži procjenu učinka:
- pri sustavnoj i opsežnoj procjeni osobnih aspekata pojedinaca na temelju automatizirane obrade, uključujući izradu profila, kad se na temelju nje donose odluke sa značajnim učinkom
- pri opsežnoj obradi posebnih kategorija podataka, primjerice podataka o zdravlju, ili podataka o kaznenim osudama i kažnjivim djelima
- pri sustavnom praćenju javno dostupnog područja u velikoj mjeri
AZOP je objavio popis od 13 vrsta obrade za koje je procjena također obvezna, među kojima su praćenje zaposlenika, praćenje lokacije, obrada podataka djece za profiliranje ili marketing i obrada biometrijskih podataka uz još jedan kriterij visokog rizika.
Što sadrži
- opis obrade i njezinih svrha
- procjenu nužnosti i proporcionalnosti obrade
- procjenu rizika za prava i slobode ispitanika
- mjere za smanjenje rizika
Ako je imenovan službenik za zaštitu podataka, voditelj obrade mora zatražiti njegov savjet. Ako procjena pokaže da bi obrada bez mjera za smanjenje rizika dovela do visokog rizika, voditelj se prije početka obrade mora savjetovati s AZOP-om (čl. 36.).
Primjer
Tvrtka uvodi mobilnu aplikaciju koja prati lokaciju terenskih radnika. Budući da su praćenje lokacije i praćenje zaposlenika na popisu AZOP-a, tvrtka prije uvođenja provodi procjenu učinka i zaključuje da je dovoljno bilježiti lokaciju na početku i završetku zadatka, umjesto stalnog praćenja.