DPIA do Chainéal Tuairiscithe: An Seicliosta Céim ar Chéim

Tá gá le Measúnú Tionchair ar Chosaint Sonraí (DPIA) i gcás cainéal tuairiscithe aon uair a bhfuil an phróiseáil "dócha go mbeidh ardriosca" ann do dhaoine aonair faoi Airteagal 35 GDPR — agus sroicheann beagnach gach córas tuairiscithe an tairseach sin, toisc go ndéanann sé daoine inaitheanta a mheas ar mhórscála, go minic ag baint úsáide as sonraí catagóire speisialta, le rochtain shrianta agus gan aon rogha réalaíoch diúltaithe d'fhostaithe.

Na príomhphointí

• Tá gá le DPIA faoi Airteagal 35 GDPR aon uair a bhfuil an phróiseáil dócha a bheith ina hardriosca — sroicheann formhór na gcainéal tuairiscithe an tairseach seo mar réamhshocrú, ní mar eisceacht.
• Ní mór é a chríochnú sula dtéann an córas beo, ní a chur i gcrích go haisghníomhach tar éis teagmhais nó tar éis ceisteanna ó rialtóir.
• Tá seacht gcéim shonracha ann: cur síos a dhéanamh ar an bpróiseáil, tástáil a dhéanamh ar an riachtanas agus ar an gcomhréireacht, rioscaí a shainaithint, bearta maolaithe a shainiú, dul i gcomhairle le do Oifigeach Cosanta Sonraí (OCS), an doiciméad a fhormheas agus a dhoiciméadú, agus truicear athbhreithnithe a leagan síos.
• Is é an bealach is coitianta a n-éiríonn DPIA doshuite ná an chomhairliúchán leis an OCS a scipeáil, nó é a chaitheamh mar chomhrá neamhfhoirmiúil in ionad céim dhoiciméadaithe.
• Déan an DPIA arís aon uair a athraíonn rud éigin ábhartha: soláthraí nua, tír nua, catagóirí sonraí nua, nó páirtí nua a fhaigheann rochtain ar thuairiscí.

Na 7 gcéim de DPIA do chainéal tuairiscithe

1. Déan cur síos córasach ar an bpróiseáil. Doiciméadaigh cé na sonraí a bhailítear (sonraí an tuairisceora, mura bhfuil sé gan ainm; sonraí an duine líomhnaithe; ráitis finnéithe; iatáin), cé atá in ann rochtain a fháil orthu, cá bhfuil siad óstáilte, cá fhad a choimeádtar iad, agus an bhfágann aon cheann acu an AE/LEE. Is é an cur síos seo an bunchloch a dtagraíonn an chuid eile den DPIA di.

2. Measúnaigh an riachtanas agus an chomhréireacht. I gcás gach catagóir sonraí a bhailítear, tabhair bonn cirt cén fáth a bhfuil sé riachtanach don chuspóir — tuairiscí a imscrúdú agus a réiteach faoi Threoir (AE) 2019/1937 — agus deimhnigh nach bhfuil tú ag bailiú níos mó ná mar a éilíonn an cuspóir sin.

3. Sainaithin na rioscaí do dhaoine aonair. Is iad na príomhrioscaí i gcainéal tuairiscithe ná athaithint tuairisceora gan ainm, rochtain neamhúdaraithe ar chomhaid cáis, díoltas a chuirtear ar chumas de bharr sárú rúndachta, agus líomhaintí míchruinne a chuireann dochar díréireach ar an duine líomhnaithe. Ainmnigh gach riosca go sonrach seachas cur síos a dhéanamh orthu go teibí.

4. Sainigh bearta chun gach riosca a mhaolú. Comhoiriúnaigh rialú nithiúil le gach riosca ó chéim 3: criptiú ag sos agus i mbun tarchurtha, rochtain bunaithe ar róil atá teoranta do láimhseálaithe cáis ainmnithe, teachtaireachtaí déthreocha gan ainm nach nochtann seoladh IP ná meiteashonraí riamh, agus sceideal coinneála sainithe le scriosadh uathoibríoch.

5. Téigh i gcomhairle le d'Oifigeach Cosanta Sonraí — agus déan é a dhoiciméadú. Is ceann de na pointí is laige a fhiosróidh rialtóir nó iniúchóir é DPIA nár athbhreithnigh an OCS riamh, nó nach raibh ionchur an OCS ann ach ó bhéal gan doiciméadú. Déan taifead ar chomhairle an OCS agus ar cé acu ar leanadh í nó nár leanadh; mura leanadh, déan taifead ar an bhfáth.

6. Formheas agus doiciméadaigh an toradh. Is doiciméad beo é an DPIA, ní ticbhosca — teastaíonn úinéir ainmnithe uaidh, dáta formheasa, agus ráiteas soiléir ar an riosca fuílligh tar éis maolaithe. Má fhanann an riosca fuílligh ard tar éis maolaithe, éilíonn Airteagal 36 GDPR comhairliúchán roimh ré leis an údarás maoirseachta sula dtosaíonn an phróiseáil.

7. Leag síos truicear athbhreithnithe, ní dáta athbhreithnithe amháin. Is dea-thús é meabhrúchán féilire bliantúil, ach ba cheart an DPIA a athoscailt freisin a luaithe a athraíonn rud éigin ábhartha — féach na truicir thíos.

Botúin choitianta a fhágann DPIA doshuite

• É a chaitheamh mar pháipéarachas a líontar isteach tar éis seolta, nuair atá an cainéal beo cheana féin agus rialtóir nó comhairle oibrithe tar éis tosú ag cur ceisteanna.
• Gan tástáil chothromaíochta dhoiciméadaithe idir leas dlisteanach na heagraíochta i mbraith ar mhí-iompar agus cearta na ndaoine aonair — ní sheasann DPIA a dhearbhaíonn conclúid gan an réasúnaíocht a thaispeáint suas do scrúdú.
• Gan dul i gcomhairle leis an OCS go foirmiúil, nó dul i gcomhairle leis tar éis don DPIA a bheith curtha i gcrích cheana féin in ionad le linn a dhréachtaithe.
• Tost maidir le haistrithe idirnáisiúnta — má tá aon soláthraí, fophróiseálaí nó suíomh cúltaca lasmuigh den AE/LEE, ní mór don DPIA aghaidh a thabhairt ar an sásra aistrithe a úsáidtear.
• Tréimhsí coinneála nach dtagann le rud atá cumraithe go hiarbhír sa chóras — is measa DPIA a ghealltar scriosadh laistigh de 90 lá agus an t-ardán ag coinneáil sonraí go héiginnte ná gan DPIA ar bith, má dhéantar iniúchadh air riamh.

Cathain ba cheart an DPIA a dhéanamh arís

Ní doiciméad aon-uaire é an DPIA. Athoscail agus athmheasúnaigh é aon uair a:

• Athraíonn tú soláthraí nó soláthraí óstála don chainéal tuairiscithe.
• Leathnaíonn tú go tír nua a bhfuil riachtanais dhifriúla aici maidir le anaithnideacht, coinneáil, nó comhairle oibrithe.
• Tosaíonn tú ag bailiú catagóirí sonraí nua — mar shampla, sonraí sláinte a éiríonn ábhartha i dtuairiscí ciapadh nó sábháilteachta.
• Faigheann tríú páirtí nua rochtain ar shonraí cáis, amhail imscrúdaitheoir seachtrach nó abhcóide seachtrach.
• Méadaíonn imleabhar nó scóip na dtuairiscí go hábhartha, ag athrú scála na próiseála ar a raibh an measúnú riosca bunaidh bunaithe.

Conas a chuidíonn Vaelo leat DPIA inchosanta a choinneáil

Tá Vaelo tógtha chun an DPIA atá agat cheana a dhéanamh níos éasca le cosaint, ní níos deacra. Tá sonraí óstála agus fophróiseálaithe doiciméadaithe agus ar fáil ar iarratas, tá rochtain ar gach cás bunaithe ar róil agus logáilte, ní nochtann teachtaireachtaí déthreocha gan ainm meiteashonraí aitheantais riamh, agus tá rialacha coinneála inchumraithe agus curtha i bhfeidhm go huathoibríoch — ionas gurb é an rud a deir do DPIA ar pháipéar an rud a dhéanann an t-ardán go hiarbhír, seachas beartas a shleamhnaíonn ón gcleachtas. Má tá tú fós ag mapáil na n-oibleagáidí GDPR bunúsacha a spreagann imscrúdú, cuimsíonn ár dtreoir maidir le GDPR in imscrúduithe inmheánacha na dualgais atá ann in éineacht leis an DPIA féin.

Ceisteanna coitianta

Cad é DPIA agus cén fáth a bhfuil ceann ag teastáil ó chainéal tuairiscithe? Is anailís dhoiciméadaithe é Measúnú Tionchair ar Chosaint Sonraí ar na rioscaí a chruthaíonn gníomhaíocht phróiseála do dhaoine aonair agus ar na bearta a mhaolaíonn iad, atá riachtanach faoi Airteagal 35 GDPR aon uair a bhfuil an phróiseáil dócha a bheith ina hardriosca. Próiseálann cainéal tuairiscithe sonraí íogaire faoi dhaoine inaitheanta ar mhórscála, rud a shroicheann an tairseach sin de ghnáth.

Cé atá freagrach as an DPIA a fhormheas? Ba cheart go mbeadh úinéir gnó ainmnithe ann (an OCS go minic, nó ról sinsearach comhlíontachta) a fhormheasann an doiciméad deiridh, a thaifeadann comhairle an OCS, agus a ghlacann freagracht as an riosca fuílligh. Níor cheart go mbeadh sé ina chleachtas neamhfhoirmiúil, gan síniú, riamh.

An gá dúinn dul i gcomhairle leis an údarás maoirseachta i gcás DPIA um chainéal tuairiscithe? Ní gá ach amháin má fhanann an riosca fuílligh ard tar éis bearta maolaithe a chur i bhfeidhm. Éilíonn Airteagal 36 GDPR comhairliúchán roimh ré leis an údarás maoirseachta sa chás sonrach sin — ní shroicheann formhór na gcainéal tuairiscithe a bhfuil dea-mhaolú déanta orthu an tairseach seo, ach ní mór don mheasúnú an réasúnaíocht a thaispeáint ar aon dul.

Cé chomh minic ba cheart dúinn athbhreithniú a dhéanamh ar DPIA cainéal tuairiscithe? Ar a laghad go bliantúil, chomh maith le láithreach aon uair a tharlaíonn athrú ábhartha: soláthraí nua, tír oibríochta nua, catagóirí nua sonraí a bhailítear, nó páirtí nua a fhaigheann rochtain ar shonraí cáis.