DPIA a bejelentési csatornához: lépésről lépésre szóló ellenőrzőlista

Egy adatvédelmi hatásvizsgálatra (DPIA) akkor van szükség egy bejelentési csatorna esetében, ha az adatkezelés a GDPR 35. cikke szerint „valószínűsíthetően magas kockázattal jár” az érintettekre nézve — és szinte minden bejelentési rendszer eléri ezt a küszöböt, mivel azonosítható személyeket értékel nagy számban, gyakran különleges adatkategóriákat is érintve, korlátozott hozzáféréssel és a munkavállalók számára reális kilépési lehetőség nélkül.

A legfontosabb tudnivalók

• A DPIA-ra a GDPR 35. cikke alapján van szükség minden olyan esetben, amikor az adatkezelés valószínűsíthetően magas kockázattal jár — a legtöbb bejelentési csatorna alapesetben, nem kivételként éri el ezt a küszöböt.
• A DPIA-t még az élesítés előtt el kell készíteni, nem utólag, egy incidens vagy egy hatóság kérdései nyomán pótolva.
• Hét konkrét lépésből áll: az adatkezelés leírása, a szükségesség és arányosság vizsgálata, a kockázatok azonosítása, az enyhítő intézkedések meghatározása, az adatvédelmi tisztviselő (DPO) bevonása, a jóváhagyás és dokumentálás, valamint egy felülvizsgálati kiváltó ok meghatározása.
• A DPIA leggyakoribb módja, hogy védhetetlenné váljon, ha kihagyják a DPO konzultációját, vagy azt informális beszélgetésként kezelik dokumentált lépés helyett.
• Készítsék el újra a DPIA-t, amikor valami lényeges változik: új szolgáltató, új ország, új adatkategóriák, vagy egy új fél kap hozzáférést a bejelentésekhez.

A DPIA hét lépése egy bejelentési csatorna esetében

1. Írja le rendszeresen az adatkezelést. Dokumentálja, milyen adatokat gyűjtenek (a bejelentő adatait, ha nem anonim; a bejelentett személy adatait; tanúvallomásokat; mellékleteket), ki férhet hozzájuk, hol tárolják őket, meddig őrzik meg, és hogy bármelyikük elhagyja-e az EU/EGT területét. Ez a leírás az az alap, amelyre a DPIA többi része visszahivatkozik.

2. Vizsgálja meg a szükségességet és az arányosságot. Minden gyűjtött adatkategóriánál indokolja, miért szükséges a célhoz — a bejelentések kivizsgálásához és lezárásához az (EU) 2019/1937 irányelv alapján —, és erősítse meg, hogy nem gyűjt többet annál, mint amit ez a cél megkövetel.

3. Azonosítsa az érintettekre jelentett kockázatokat. A bejelentési csatorna központi kockázatai: az anonim bejelentő azonosíthatóvá válása, az ügyiratokhoz való jogosulatlan hozzáférés, a bizalmasság megsértése által lehetővé tett megtorlás, valamint a pontatlan állítások, amelyek aránytalan kárt okoznak a bejelentett személynek. Nevezze meg kifejezetten az egyes kockázatokat ahelyett, hogy elvontan írná le őket.

4. Határozza meg az egyes kockázatok enyhítésére szolgáló intézkedéseket. Rendeljen konkrét kontrollt minden, a 3. lépésben azonosított kockázathoz: titkosítás nyugalmi állapotban és továbbítás közben, szerepkör alapú hozzáférés, amely a kijelölt ügykezelőkre korlátozódik, anonim, kétirányú üzenetküldés, amely soha nem fedi fel az IP-címet vagy a metaadatokat, és egy meghatározott megőrzési ütemterv automatikus törléssel.

5. Vonja be az adatvédelmi tisztviselőt (DPO) — és dokumentálja ezt. Az a DPIA, amelyet a DPO soha nem véleményezett, vagy amelynél a DPO közreműködése csak szóban történt és nincs dokumentálva, az egyik leggyengébb pont, amelyet egy hatóság vagy auditor vizsgálni fog. Rögzítse a DPO véleményét, és hogy azt követték-e; ha nem, rögzítse, hogy miért.

6. Hagyja jóvá és dokumentálja az eredményt. A DPIA élő dokumentum, nem egy egyszeri feladat — szüksége van egy kijelölt felelősre, egy jóváhagyási dátumra, és a fennmaradó kockázat egyértelmű megállapítására az enyhítő intézkedések után. Ha a fennmaradó kockázat az enyhítés után is magas marad, a GDPR 36. cikke előzetes konzultációt ír elő a felügyeleti hatósággal, mielőtt az adatkezelés megkezdődne.

7. Határozzon meg egy felülvizsgálati kiváltó okot, ne csak egy felülvizsgálati dátumot. Egy éves naptári emlékeztető jó kiindulópont, de a DPIA-t akkor is újra kell nyitni, amint valami lényeges megváltozik — lásd az alábbi kiváltó okokat.

Gyakori hibák, amelyek védhetetlenné teszik a DPIA-t

• Papírmunkaként kezelni, amelyet az indulás után töltenek ki, amikor a csatorna már éles, és egy hatóság vagy üzemi tanács már kérdéseket tesz fel.
• Nincs dokumentált mérlegelési teszt a szervezet jogsértések felderítéséhez fűződő jogos érdeke és az érintettek jogai között — az a DPIA, amely következtetést állít anélkül, hogy bemutatná az indoklást, nem állja ki a vizsgálat próbáját.
• A DPO-t nem vonják be formálisan, vagy csak azután konzultálnak vele, hogy a DPIA-t már véglegesítették, nem pedig annak elkészítése közben.
• Hallgatás a nemzetközi adattovábbításokról — ha bármely szolgáltató, alvállalkozó vagy biztonsági mentési helyszín az EU/EGT-n kívül található, a DPIA-nak foglalkoznia kell az alkalmazott adattovábbítási mechanizmussal.
• A megőrzési idők nem egyeznek azzal, ami a rendszerben ténylegesen be van állítva — az a DPIA, amely 90 napos törlést ígér, miközben a platform korlátlan ideig megőrzi az adatokat, rosszabb, mint ha egyáltalán nem lenne DPIA, ha valaha auditálják.

Mikor kell újra elkészíteni a DPIA-t

A DPIA nem egyszeri dokumentum. Nyissa meg és értékelje újra mindig, amikor:

• Szolgáltatót vagy tárhelyszolgáltatót vált a bejelentési csatorna esetében.
• Új országba terjeszkedik, ahol eltérő anonimitási, megőrzési vagy üzemi tanácsi követelmények érvényesek.
• Elkezd új adatkategóriákat gyűjteni — például egészségügyi adatok válnak relevánssá zaklatási vagy biztonsági bejelentéseknél.
• Új harmadik fél kap hozzáférést az ügyadatokhoz, például egy külső vizsgáló vagy külső jogi tanácsadó.
• A bejelentések mennyisége vagy köre lényegesen megnő, megváltoztatva az adatkezelés léptékét, amelyre az eredeti kockázatértékelés épült.

Hogyan segít a Vaelo abban, hogy a DPIA védhető maradjon

A Vaelo úgy épül fel, hogy a már meglévő DPIA-ját könnyebb legyen megvédeni, ne nehezebb. A tárhely- és alvállalkozói adatok dokumentáltak és kérésre elérhetők, az egyes ügyekhez való hozzáférés szerepkör alapú és naplózott, az anonim kétirányú üzenetküldés soha nem fedi fel az azonosításra alkalmas metaadatokat, a megőrzési szabályok pedig konfigurálhatók és automatikusan érvényesülnek — így az, amit a DPIA papíron kimond, az valósul is meg a platformon, nem egy, a gyakorlattól elszakadó szabályzat. Ha még mindig azokat a GDPR-kötelezettségeket térképezi fel, amelyeket egy vizsgálat kivált, a GDPR a belső vizsgálatokban útmutatónk bemutatja azokat a kötelezettségeket, amelyek a DPIA mellett állnak.

Gyakran ismételt kérdések

Mi az a DPIA, és miért van rá szüksége egy bejelentési csatornának? Az adatvédelmi hatásvizsgálat egy dokumentált elemzés arról, hogy egy adatkezelési tevékenység milyen kockázatokat jelent az érintettekre, és milyen intézkedések enyhítik ezeket, amelyre a GDPR 35. cikke alapján van szükség minden olyan esetben, amikor az adatkezelés valószínűsíthetően magas kockázattal jár. Egy bejelentési csatorna nagy számban kezel érzékeny adatokat azonosítható személyekről, ami jellemzően eléri ezt a küszöböt.

Ki felelős a DPIA jóváhagyásáért? Legyen egy kijelölt üzleti felelős (gyakran a DPO vagy egy vezető compliance szerepkör), aki jóváhagyja a végleges dokumentumot, rögzíti a DPO véleményét, és felelősséget vállal a fennmaradó kockázatért. Soha nem lehet informális, aláírás nélküli gyakorlat.

Konzultálnunk kell a felügyeleti hatósággal egy bejelentési csatorna DPIA-jához? Csak akkor, ha az enyhítő intézkedések alkalmazása után a fennmaradó kockázat magas marad. A GDPR 36. cikke ebben a konkrét esetben előzetes konzultációt ír elő a felügyeleti hatósággal — a legtöbb, jól kezelt kockázatú bejelentési csatorna nem éri el ezt a küszöböt, de az értékelésnek mindkét esetben be kell mutatnia az indoklást.

Milyen gyakran kell felülvizsgálnunk egy bejelentési csatorna DPIA-ját? Legalább évente, valamint azonnal, amikor lényeges változás történik: új szolgáltató, új működési ország, újonnan gyűjtött adatkategóriák, vagy egy új fél, amely hozzáférést kap az ügyadatokhoz.