DPIA — кога и как да направите оценка на въздействието върху защитата на данните

Оценката на въздействието върху защитата на данните (DPIA) е задължителен анализ по чл. 35 от GDPR, който администраторът трябва да извърши преди обработване, което може да породи висок риск за правата и свободите на физическите лица. DPIA е задължителна при мащабно профилиране, систематично видеонаблюдение и обработване на специални категории данни. КЗЛД поддържа списък с видовете операции, изискващи DPIA в България.

Какво е DPIA

Оценката на въздействието върху защитата на данните (Data Protection Impact Assessment, DPIA) е процес, регламентиран в чл. 35(1) от GDPR, чрез който администраторът на лични данни оценява рисковете за правата и свободите на физическите лица преди да започне дадена обработка.

Когато даден вид обработване, по-специално при използване на нови технологии и предвид естеството, обхвата, контекста и целите на обработването, е вероятно да породи висок риск за правата и свободите на физическите лица, администраторът извършва, преди обработването, оценка на въздействието на предвидените операции по обработване върху защитата на личните данни.
— чл. 35(1) GDPR

Ключовият принцип е проактивност: DPIA не е формалност, която се попълва след факта. Тя е инструмент за идентифициране и минимизиране на рисковете още на етапа на проектиране. Този подход е в съответствие с принципа „защита на данните на етапа на проектирането“ (Privacy by Design) по чл. 25 от GDPR.

Кога е задължителна DPIA

Съгласно чл. 35(3) от GDPR, DPIA е задължителна в три изрично посочени случая:

1. Систематична и мащабна оценка/профилиране с правни последици

   Систематично и мащабно оценяване на лични аспекти на физически лица, основаващо се на автоматизирано обработване, включително профилиране, въз основа на което се вземат решения, пораждащи правни последици за лицето или го засягат значително по подобен начин.

   чл. 35(3)(а)

2. Мащабна обработка на специални категории данни

   Мащабна обработка на специални категории данни по чл. 9(1) (расов/етнически произход, политически убеждения, религиозни вярвания, генетични данни, биометрични данни, здравни данни, сексуален живот) или на данни, свързани с присъди и нарушения по чл. 10.

   чл. 35(3)(б)

3. Систематично мащабно наблюдение на публично достъпна зона

   Систематично мащабно наблюдение на публично достъпна зона. Типичен пример: мащабно видеонаблюдение на обществени пространства, транспортни възли, търговски центрове.

   чл. 35(3)(в)

9-те критерия на ЕКЗД (WP248 rev.01)

Освен трите изрични случая, Европейският комитет по защита на данните (ЕКЗД, бивша Работна група по чл. 29) дефинира в Насоки WP248 rev.01 девет критерия. Ако обработването покрива два или повече от тях, DPIA по правило е задължителна:

1. Оценяване или точкуване (scoring), включително профилиране и прогнозиране
2. Автоматизирано вземане на решения с правни или значителни последици
3. Систематично наблюдение — проследяване на лица, включително онлайн
4. Чувствителни данни или данни от изключително личен характер
5. Мащабна обработка — голям обем данни, много засегнати лица, дълъг период
6. Съпоставяне или комбиниране на набори от данни от различни източници
7. Данни на уязвими лица (деца, работници, пациенти, възрастни хора)
8. Иновативно използване или прилагане на нови технологии (AI, IoT, биометрия)
9. Блокиране на права/достъп до услуга/договор въз основа на обработката

КЗЛД „черен списък“ (чл. 35(4))

Съгласно чл. 35(4) от GDPR, всеки национален надзорен орган съставя и публикува списък с видове операции по обработване, за които задължително се изисква DPIA. Комисията за защита на личните данни (КЗЛД) е изготвила такъв списък за България, базиран на становището на ЕКЗД.

Основните категории обработки, за които КЗЛД изисква задължителна DPIA, включват:

1. Мащабно видеонаблюдение

   Систематично наблюдение с видеокамери на публично достъпни зони или работни места, особено при комбиниране с биометрични технологии за разпознаване на лица.

2. Биометрични данни за идентификация

   Обработка на биометрични данни (пръстови отпечатъци, лицево разпознаване, ирисово сканиране) за целите на уникалната идентификация на физически лица.

3. Генетични данни

   Обработка на генетични данни извън контекста на индивидуалното здравно обслужване.

4. Мащабно профилиране

   Систематично и мащабно профилиране на физически лица за оценка на кредитоспособност, поведение, местоположение, здраве, предпочитания, включително при използване на изкуствен интелект.

5. Мащабна обработка на здравни данни

   Обработка на данни за здравето в мащаб, който надхвърля индивидуалната лекарска/медицинска практика — напр. болнични информационни системи, здравни приложения с голям брой потребители.

6. Систематично наблюдение на служители

   Мониторинг на електронни комуникации, интернет активност, GPS проследяване, видеонаблюдение на работното място или контрол на работното време чрез биометрични устройства.

7. Комбиниране на масиви от данни

   Съпоставяне, свързване или комбиниране на набори от лични данни, получени от различни операции по обработване, с различни цели или от различни администратори, по начин, който надхвърля разумните очаквания на субектите.

8. Обработка на данни на уязвими лица в мащаб

   Мащабна обработка на данни на деца, лица с увреждания, пациенти или други уязвими групи, особено при автоматизирано вземане на решения.

9. Иновативни технологии с лични данни

   Прилагане на нови технологии (AI, машинно обучение, IoT, свързани автомобили, умни домове) за обработка на лични данни, когато технологията може да генерира непредвидими рискове за правата на субектите.

Пълният актуален списък е достъпен на уебсайта на КЗЛД. Препоръчваме да го проверявате периодично, тъй като може да бъде актуализиран.

Какво трябва да съдържа DPIA

Чл. 35(7) от GDPR определя четири задължителни елемента, които всяка DPIA трябва да включва:

1. Систематично описание на обработването

   Описание на предвидените операции по обработване и целите на обработването, включително, когато е приложимо, преследвания от администратора легитимен интерес. Включете: какви данни се събират, от кого, по какъв начин, къде се съхраняват, кой има достъп, на кого се предават.

   чл. 35(7)(а)

2. Оценка на необходимостта и пропорционалността

   Оценка на необходимостта и пропорционалността на операциите по обработване спрямо целите. Можете ли да постигнете същата цел с по-малко данни? С по-малко инвазивен метод? Обоснуйте защо именно тази обработка е необходима.

   чл. 35(7)(б)

3. Оценка на рисковете за правата и свободите

   Оценка на рисковете за правата и свободите на субектите на данни. Анализирайте: вероятност за настъпване и тежест на последиците. Разгледайте рискове от: неоторизиран достъп, загуба на данни, дискриминация, финансови вреди, увреждане на репутацията, загуба на контрол.

   чл. 35(7)(в)

4. Мерки за справяне с рисковете

   Предвидените мерки за справяне с рисковете, включително гаранции, мерки за сигурност и механизми за осигуряване на защита на личните данни и за доказване на съответствие с GDPR. Примери: псевдонимизация, криптиране, контрол на достъпа, обучения, политики за запазване.

   чл. 35(7)(г)

Стъпка по стъпка процес за извършване на DPIA

Следният процес следва методологията на ЕКЗД и е адаптиран за практическо приложение от български бизнеси. Съгласно чл. 35(2), администраторът задължително иска становището на DPO (ако е назначено такова) при извършването на DPIA.

1. Идентифицирайте необходимостта от DPIA

   Преди да започнете ново обработване (или при съществена промяна на вече съществуващо), проверете дали попада в задължителните случаи по чл. 35(3), в списъка на КЗЛД или покрива 2+ критерия на ЕКЗД. Ако не сте сигурни — извършете DPIA превантивно.

2. Опишете обработването

   Документирайте: какви лични данни се обработват, от кого се събират, за какви цели, на какво правно основание, кой има достъп, на кого се предават, къде се съхраняват, за какъв период. Включете схема на потоците от данни (data flow diagram).

3. Оценете необходимостта и пропорционалността

   Обосновете: защо тази обработка е необходима за постигане на целта? Може ли целта да се постигне с по-малко данни или по-малко инвазивен метод? Спазени ли са принципите на минимизиране на данните (чл. 5(1)(в)) и ограничение на целите (чл. 5(1)(б))?

4. Идентифицирайте и оценете рисковете

   За всяка операция идентифицирайте потенциалните рискове за субектите: неоторизиран достъп, загуба/унищожаване, неправомерно разкриване, дискриминация, манипулация. Оценете вероятността (ниска/средна/висока) и тежестта (минимална/значителна/тежка) на всеки риск.

5. Определете мерки за смекчаване

   За всеки идентифициран риск определете конкретни технически и организационни мерки: криптиране, псевдонимизация, контрол на достъпа, логване, обучения, процедури за реагиране при инцидент. Преоценете остатъчния риск след прилагане на мерките.

6. Документирайте резултатите

   Изгответе писмен доклад с всички елементи по чл. 35(7). Включете становището на DPO (чл. 35(2)). Запазете доклада — ще го представите на КЗЛД при поискване. Документацията е доказателство за вашата отчетност (accountability) по чл. 5(2).

7. Преразглеждайте и актуализирайте

   DPIA не е еднократен документ. Съгласно чл. 35(11), администраторът извършва преглед, когато има промяна в риска от операциите по обработване. Добра практика: преглед поне веднъж годишно или при всяка значителна промяна в обработването, технологиите или контекста.

Предварителна консултация с КЗЛД (чл. 36)

Съгласно чл. 36(1) от GDPR, когато DPIA покаже, че обработването би породило висок риск, ако администраторът не предприеме мерки за смекчаване, и когато тези мерки не са достатъчни за намаляване на риска до приемливо ниво, администраторът се консултира с надзорния орган преди обработването.

С други думи: ако след извършване на DPIA и прилагане на всички разумни мерки остатъчният риск остава висок, вие трябва да се обърнете към КЗЛД, преди да започнете обработката.

Какво включва предварителната консултация:

• Подаване на DPIA доклада до КЗЛД
• Описание на отговорностите на администратора и обработващия
• Целите и средствата на обработването
• Мерките и гаранциите, предвидени за защита на правата на субектите
• Данни за контакт на DPO (ако е назначено)

КЗЛД разполага с 8 седмици (удължаеми с още 6 седмици при сложни случаи) за писмен отговор с препоръки. През този период не трябва да започвате обработването.

Практически примери

Следната таблица илюстрира кога DPIA е необходима и кога не е:

Шаблони и инструменти

За да улесните процеса, можете да използвате следните безплатни инструменти:

• CNIL PIA Tool — безплатен софтуерен инструмент, разработен от френския надзорен орган (CNIL). Предлага структуриран процес, автоматична оценка на рисковете и генериране на отчет. Достъпен на cnil.fr
• ICO DPIA Template — шаблон от британския Information Commissioner's Office с готова структура и насочващи въпроси. Подходящ за по-малки проекти и за организации, които предпочитат документен формат
• Шаблон на КЗЛД — проверете уебсайта на КЗЛД за актуални указания и формуляри за български администратори
• ISO 29134:2023 — международният стандарт за провеждане на оценки на въздействието върху поверителността (PIA), който предоставя детайлна методология

Независимо кой инструмент изберете, уверете се, че покривате всички четири задължителни елемента по чл. 35(7) и документирате становището на вашето длъжностно лице по защита на данните.

Санкции при неизвършване на DPIA

В практиката на европейските надзорни органи вече има множество решения за нарушения на чл. 35:

• Полша (UODO) — глоба на община за липса на DPIA при внедряване на система за видеонаблюдение
• Франция (CNIL) — санкция за липса на DPIA при мащабно профилиране чрез рекламна платформа
• Гърция (HDPA) — санкция за липса на DPIA при биометричен контрол на достъпа на служители

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и whistleblowing. Заедно консултират над 90 компании за пълно GDPR съответствие.