tietosuojaarviointi

Tietosuoja- tai tietosuojavaikutusarviointi (DPIA) on prosessi, jossa arvioidaan henkilötietojen käsittelyn vaikutuksia yksityisyyteen ja tunnistetaan sekä lievennetään riskit ennen uuden tai olennaisesti muuttuvan käsittelyn käyttöönottoa.

Se pohjautuu EU:n yleiseen tietosuoja-asetukseen (GDPR). Artikla 35 määrittelee DPIA:n suorittamisen niissä tapauksissa, joissa käsittely aiheuttaa korkean riskin rekisteröityjen oikeuksille ja vapauksille. Suomessa DPIA:n vaatimus näkyy GDPR:n lisäksi kansallisessa lainsäädännössä ja ohjeistuksissa.

DPIA sisältää: tarkoitusperät ja oikeutetun perustelun käsittelylle; käsittelyn luonne, laajuus ja vaikutukset rekisteröityihin; käsiteltävät tiedot ja mahdolliset vastaanottajat sekä siirrot kolmansiin maihin; säilytysajat; käytetyt tekniset sekä organisatoriset suojatoimet; riskien kuvaus sekä mahdolliset vaihtoehtoiset ratkaisut ja toimenpiteet riskien lieventämiseksi. Lopuksi arvioidaan, onko käsittely hyväksyttävää tai tarvitaanko lisätoimenpiteitä.

Prosessi etenee yleensä määrittelemällä tarve ja suhteellisuus, tunnistamalla ja arvioimalla riskit, suunnittelemalla ja toteuttamalla lieventämistoimenpiteet sekä tarvittaessa kuulemalla valvontaviranomaista. DPIA laaditaan kirjallisena dokumenttina rekisterinpitäjälle ja tallennetaan tietosuoja-dokumentaatioon.

Vastuu DPIA:sta on rekisterinpitäjällä (ja mahdollisesti käsittelijällä). Jos DPIA osoittaa korkean riskin, rekisterinpitäjän on konsultoitava tietosuojaviranomaista ennen käsittelyn aloittamista tai saatettava asia heidän lausunnolleen.