DPIAarvioinnin

DPIAarvioinnin, eli tietosuojavaikutusten arvioinnin, tarkoituksena on tunnistaa ja lieventää henkilötietojen käsittelyn aiheuttamat yksityisyyteen kohdistuvat riskit. DPIA-arvioinnin avulla kartoitetaan käsittelyn tarkoitus, tarpeellisuus ja suhteellisuus sekä henkilötietojen minimointi, turvallisuusperiaatteet sekä säilytysajat. Tämä prosessi tukee tietosuoja-asetuksen (GDPR) artiklaa 35 ja liittyy vahvasti tietosuoja by design ja by default -periaatteisiin.

Vaatimukset DPIA-arvioinnille määritellään niin, että korkea riski oikeuksille ja vapauksille on todennäköinen. Tällaisia tilanteita voivat olla suurimuotoinen profilointi, systemaattinen ja laajamittainen valvonta, erityisten henkilötietojen (esimerkiksi terveydentiedot tai uskonto) käsittely, uuden teknologian käyttöönotto sekä suurten tietojoukkojen siirtäminen kolmansiin maihin, joissa suojelutaso on epävarma. Paikallinen lainsäädäntö ja toimialan suositukset voivat täsmentää kriteerejä.

DPIA-arviointi sisältää useita vaiheita: kuvaus käsittelytoimista ja niiden tarkoituksesta; tarpeellisuuden ja suhteellisuuden arviointi; riskiarviointi oikeuksille ja vapauksille sekä nykyisten tai suunniteltujen turvallisuustoimenpiteiden vaikutusten kartoitus; mahdollisten riskien lieventäminen ja residualiriskin arviointi; sekä suoritus- ja vaikutusarvio ennen käsittelyn aloittamista sekä tarvittaessa tieto- tai kolmannen osapuolen johdonmukainen kuuleminen tietosuojaviranomaisen kanssa. DPIA on elävä dokumentti, jota päivitetään, jos käsittely muuttuu.

Suomessa vastuuvalvonta kuuluu tietosuojavaltuutetun toimistolle. DPO:n (tietosuojan yhteyshenkilön) huomioiminen on suositeltavaa tai välttämällää tapauskohtaisesti. DPIA-tulokset dokumentoidaan ja käytetään osoituksena vastuullisesta tietosuojan hallinnasta sekä tukemaan jatkuvaa tietosuojaohjelmaa.