Кога се прави оценка на въздействието по GDPR

Нова HR платформа, видеонаблюдение в склад, система за проследяване на служебни автомобили или внедряване на AI инструмент за подбор не са само IT проекти. Те могат да променят съществено риска за правата и свободите на физическите лица. Именно тук възниква въпросът кога се прави оценка на въздействието GDPR и как организацията доказва, че е преценила риска преди обработването да започне.

Оценката на въздействието върху защитата на данните, позната като DPIA от Data Protection Impact Assessment, не е формален документ, който се изготвя при поискване от надзорен орган. Тя е процес за предварително управление на риска. Целта е организацията да установи дали планираното обработване може да засегне сериозно хората, чиито данни използва, и да приложи мерки, преди рискът да се превърне в инцидент, жалба или санкция.

Съгласно чл. 35 от GDPR DPIA се извършва, когато даден вид обработване, особено при използване на нови технологии, е вероятно да създаде висок риск за правата и свободите на физическите лица. Решаващ е не размерът на организацията, а естеството, обхватът, контекстът и целите на обработването.

Малко дружество може да има задължение за DPIA, ако въвежда биометричен контрол на достъпа или постоянно видеонаблюдение на служители. От друга страна, голяма организация не се нуждае автоматично от отделна оценка за всеки стандартен запис в счетоводна система, когато обработването е ограничено, предвидимо и е защитено с подходящи мерки.

Регламентът посочва три класически ситуации, при които оценката обичайно е необходима: систематична и обстойна оценка на лични аспекти чрез автоматизирана обработка, включително профилиране, когато води до решения със съществени последици; обработване в голям мащаб на специални категории данни или данни за присъди и нарушения; и систематично мащабно наблюдение на публично достъпни места.

Това не е затворен списък. Надзорният орган може да публикува списък на операции, за които DPIA е задължителна. Организацията следва да отчете и практиката на Комисията за защита на личните данни, а не да разчита само на общи шаблони от интернет.

Сигнали, че рискът вероятно е висок

На практика рискът рядко се разпознава по една-единствена характеристика. По-често той се натрупва. Колкото повече от следните признаци са налице, толкова по-вероятно е оценката да бъде необходима:

профилиране, скоринг или автоматизирано вземане на решения;
обработване на здравни, биометрични, генетични или други чувствителни данни;
наблюдение на хора чрез камери, GPS, софтуер за мониторинг или анализ на поведение;
обработване на данни за деца, служители, пациенти, длъжници или други лица в уязвима позиция;
обединяване на данни от различни източници, което създава по-пълен профил на лицето;
използване на нова технология, AI модел, лицево разпознаване или мащабна облачна среда;
ограничаване на достъпа до услуга, договор, кредит, застраховка или работна възможност въз основа на данни.

Два или повече критерия често са достатъчен практически сигнал за задълбочена преценка. Например внедряване на платформа, която анализира продуктивността на служители чрез данни от устройства, служебна поща и работно време, съчетава систематично наблюдение, профилиране и неравнопоставеност в трудовото правоотношение. В такъв случай DPIA обичайно е очакван подход.

Случаи от ежедневната работа на бизнеса

Видеонаблюдението не изисква автоматично оценка на въздействието. Камера на входа на малък офис, насочена към ограничена зона и използвана единствено за сигурност, може да бъде управлявана с ясна политика, срокове за съхранение и контрол на достъпа. Ако обаче камерите наблюдават постоянно голям търговски обект, производствена база, работни места или публично достъпни пространства, рискът нараства и DPIA следва да се разгледа сериозно.

Същият принцип важи за резервните копия. Архивирането на лични данни само по себе си не означава непременно нова DPIA, когато то е част от вече оценен процес и не променя рисковия профил. Но преминаване към нов доставчик, нова облачна архитектура, криптиране с различно управление на ключове или трансфер извън Европейското икономическо пространство може да наложи нова оценка или актуализация на съществуващата.

При HR процесите границата също е важна. Обичайното съхраняване на трудови досиета не винаги води до DPIA. Автоматизиран подбор на кандидати, анализ на видеоинтервюта, оценка на емоции или алгоритмично класиране на служители обаче може да има значим ефект върху хората. Тук технологичното удобство трябва да бъде съпоставено с прозрачността, точността на модела, човешкия контрол и възможността за възражение.

Как се изготвя DPIA, която има практическа стойност

Добрата оценка започва преди договорът с доставчик да е подписан и преди данните да са прехвърлени към новата система. Ако се изготви едва след внедряването, организацията може да установи, че са нужни скъпи промени в архитектурата, договорите или работните процеси.

Първо се описва обработването ясно и конкретно: какви данни се събират, от кого, за каква цел, в кои системи се съхраняват, кой има достъп, към кого се предават и колко дълго се пазят. Общи фрази като „данните се обработват за бизнес нужди“ не дават основа за оценка на риска.

След това се доказва необходимостта и пропорционалността. Организацията трябва да може да обясни защо конкретната цел не може да бъде постигната с по-малко данни, по-кратък срок на съхранение или по-малко инвазивна технология. Този етап често показва, че част от събираната информация изобщо не е необходима.

Следва реалната оценка на риска за хората. Разглеждат се сценарии като неоторизиран достъп до заплати и здравни документи, грешно автоматизирано решение, разкриване на местоположение, дискриминация, кражба на самоличност или невъзможност лицето да упражни правата си. Рискът не е само вероятността от кибератака. Той включва и последиците от неправомерна, непрозрачна или прекомерна употреба на данните.

Накрая се определят мерки и отговорници. Те могат да включват криптиране, многофакторна автентикация, сегментиране на достъпа, журнални записи, псевдонимизация, ограничени срокове за съхранение, процедура за упражняване на права, обучение на персонала и договорни изисквания към обработващите лични данни. Важно е всяка мярка да има собственик, срок и доказателство за изпълнение.

DPIA не е еднократен документ

Оценката трябва да се преразглежда при съществена промяна в риска. Такава промяна може да бъде нова интеграция, увеличаване броя на засегнатите лица, добавяне на чувствителни данни, промяна в срока за съхранение, внедряване на AI функционалност или инцидент, който показва слабост в контролите.

Това е особено актуално при организации, които едновременно покриват GDPR, ISO 27001, NIS2 или секторни изисквания. Единна карта на активите, потоците от данни, рисковете и контролните мерки намалява дублирането между регистри, политики, оценки и одитни доказателства. Технологичната защита и документацията трябва да работят като една система, а не като отделни инициативи.

Какво следва при висок остатъчен риск

Понякога организацията идентифицира висок риск, който не може да бъде намален достатъчно с наличните технически и организационни мерки. Тогава администраторът е длъжен да проведе предварителна консултация с надзорния орган, преди да започне обработването. Не е приемливо проектът да бъде стартиран с аргумента, че мерките ще се доразвият впоследствие.

Отговорността за DPIA е на администратора на лични данни, дори когато инфраструктурата, архивирането или конкретното приложение се предоставят от външен партньор. Обработващият има задължение да съдейства с техническа информация, описание на контролите, данни за подизпълнители и механизми за сигурност. Длъжностното лице по защита на данните следва да бъде консултирано и становището му да се документира.

Практичният подход е да поставите проверката за DPIA в началото на всеки проект, който засяга лични данни. Така решението дали кога се прави оценка на въздействието GDPR няма да се търси след инцидент или при одит, а ще бъде част от контролиран процес за внедряване. За бизнеси без вътрешен капацитет външен технологичен и compliance партньор може да превърне тази проверка в работеща процедура с ясни отговорности, доказуеми мерки и устойчив контрол над риска.

Кога се прави оценка на въздействието по GDPR