Adatvédelmi hatásvizsgálati dokumentáció elkészítéséhez nyújt segítséget az EDPB adatvédelmi hatásvizsgálati sablonja

Megosztás Tetszik

A személyes adatok kezelését és védelmét szabályozó, az Európai Parlament és a Tanács (EU) 2016/679 Rendelete (általános adatvédelmi rendelet, GDPR) bizonyos adatkezelések esetében előírja adatvédelmi hatásvizsgálat szükségességét. A hatásvizsgálati dokumentáció elkészítéséhez jelentős segítséget fog nyújtani az Európai Adatvédelmi Testület (European Data Protection Board, EDPB) sablonja, melybe a vonatkozó adattartalmat egyszerűen be kell illeszteni. Nézzük mit és hogyan kell elvégezni!

Mikor áll fenn hatásvizsgálati kötelezettség?

A GDPR 35. cikke szerint, ha az adatkezelés valamely – különösen új technológiákat alkalmazó – típusa, figyelemmel annak jellegére, hatókörére, körülményére és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, akkor az adatkezelő az adatkezelést megelőzően hatásvizsgálatot végez arra vonatkozóan, hogy a tervezett adatkezelési műveletek a személyes adatok védelmét hogyan érintik. Olyan, egymáshoz hasonló típusú adatkezelési műveletek, amelyek egymáshoz hasonló magas kockázatokat jelentenek, egyetlen hatásvizsgálat keretei között is értékelhetők.

A GDPR tehát főszabály szerint magas kockázattal járó adatkezelések esetén írja elő a hatásvizsgálati kötelezettséget. Ezen kategóriára 3 esetcsoportot is megjelöl. Adatvédelmi hatásvizsgálatot különösen az alábbi esetekben kell elvégezni:

• természetes személyekre vonatkozó egyes személyes jellemzők olyan módszeres és kiterjedt értékelése, amely automatizált adatkezelésen – ideértve a profilalkotást is – alapul, és amelyre a természetes személy tekintetében joghatással bíró vagy a természetes személyt hasonlóképpen jelentős mértékben érintő döntések épülnek;
• a 9. cikk (1) bekezdésében említett személyes adatok különleges kategóriái, vagy a 10. cikkben említett, büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó személyes adatok nagy számban történő kezelése; vagy
• nyilvános helyek nagymértékű, módszeres megfigyelése.

Emellett azonban az EDPB jogelődje is meghatározott egy listát, amelyet végig kell vizsgálni. Ezen listán olyan szempontok találhatóak, mint például nagy mennyiségű adat kezelése, szenzitív adatok kezelése, kiszolgáltatott érintettek érintettsége, új technológia bevezetése, adatok összevetése stb. Itt azt kell megvizsgálni, hogy a felsorolt szempontok közül mennyi érvényesül. Minél több, annál inkább szükséges adatvédelmi hatásvizsgálatot végezni.

Végül a felügyeleti hatóságok, így nálunk a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) is jogosult kötelező hatásvizsgálati listát közzétenni, ez meg is történt. A 30 tételből álló felsorolásban új elem a munkahelyi kamerás megfigyelés személy- és vagyonvédelem céljából, illetve a munkavállalók autójában elhelyezett GPS nyomkövető alkalmazása. A részletek végett tanácsos a listát végigolvasni.

OLVASSA TOVÁBB cikkünket, melyből megtudhatja, hogy mi az adatvédelmi hatásvizsgálatokhoz az EDPB által elfogadott sablon

• célja és jelentősége,
• miért előnyös a használata, illetve
• hogyan épül fel a sablon.