Kada reikia poveikio duomenų apsaugai vertinimo (DPIA)?
Trumpas atsakymas
Vertinimas reikalingas tada, kai tvarkymas gali kelti didelę riziką žmonių teisėms ir laisvėms. Praktikoje dažniausi atvejai yra vaizdo stebėjimas, pokalbių įrašymas, sistemingas darbuotojų sekimas ir didelės apimties specialių kategorijų duomenų tvarkymas.
Kas šiame puslapyje
1.Kaip atpažinti didelę riziką
Didelė rizika paprastai atsiranda, kai sutampa keli požymiai: tvarkymas yra sisteminis, apima daug žmonių, vyksta viešai prieinamoje vietoje, liečia pažeidžiamus asmenis, naudoja naują technologiją arba lemia sprendimus su teisinėmis pasekmėmis. Vienas požymis dar nereiškia pareigos, bet du ar trys kartu jau yra rimtas ženklas.
Priežiūros institucija skelbia sąrašą tvarkymo rūšių, kurioms vertinimas privalomas. Prieš pradedant naują procesą verta į jį pažvelgti; sąrašą ir jo šaltinį žr. BDAR 35 str. 4 d.; sąrašas — Valstybinės duomenų apsaugos inspekcijos direktoriaus 2019 m. kovo 14 d. įsakymas Nr. 1T-35 (1.12.E).
2.Dažniausi atvejai
Vaizdo stebėjimas patalpose ir teritorijoje yra dažniausias atvejis, ypač kai kameros apima įėjimus, darbo vietas ar didelį srautą žmonių. Antras dažnas atvejis — telefoninių pokalbių įrašymas, nes jis paliečia ir klientus, ir darbuotojus, o įrašuose dažnai atsiranda duomenų, kurių niekas neplanavo rinkti.
Toliau eina darbuotojų veiklos stebėjimo priemonės, didelės apimties sveikatos duomenų tvarkymas ir automatinis vertinimas, pagal kurį priimami sprendimai dėl žmogaus. Jei organizacija diegia dirbtinio intelekto priemonę, kuri vertina žmones, vertinimas beveik visada reikalingas.
3.Ką vertinimas turi apimti
Vertinime aprašoma planuojama veikla ir jos tikslas, įvertinamas būtinumas ir proporcingumas, išvardijamos rizikos žmonėms ir numatomos priemonės toms rizikoms sumažinti. Tai nėra formalus klausimynas — vertingiausia dalis yra sąžiningas atsakymas, ar tikslą galima pasiekti mažiau įsiterpiančiu būdu.
Vertinimas atliekamas prieš pradedant veiklą. Jei kameros jau įjungtos, vertinimas vis tiek atliekamas, bet tuomet jis dažnai baigiasi sprendimu keisti zonas, terminus ar prieigą — o tai brangiau, nei būtų kainavę iš anksto.
4.Kas toliau
Jei po visų priemonių rizika lieka didelė, prieš pradedant veiklą reikia konsultuotis su priežiūros institucija. Praktikoje tai retas atvejis: dauguma rizikų sumažinamos siauresnėmis stebėjimo zonomis, trumpesniais terminais ir griežtesne prieiga.
Vertinimas nėra vienkartinis. Pasikeitus apimčiai — daugiau kamerų, nauja sistema, naujas tikslas — jį reikia peržiūrėti. Peržiūros datą naudinga užrašyti kartu su vertinimu.
Oficialus teisės akto tekstas
Reglamento nuostatų čia neperpasakojame. Oficialus BDAR tekstas lietuvių kalba yra vienoje vietoje ir yra tikslesnis už bet kokį atpasakojimą.
BDAR tekstas lietuvių kalba (EUR-Lex)