Válasz
Adatvédelmi hatásvizsgálatra van szükség olyankor, ha az adatkezelés valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira nézve. Legalább az alábbi esetekben adatvédelmi hatásvizsgálatot kell végezni:
- egy személy személyes jellemzőinek rendszeres és kiterjedt értékelése esetén, ideértve a profilalkotást is;
- különleges adatok nagy számban történő kezelése;
- nyilvános helyek nagymértékű, módszeres megfigyelése.
A nemzeti adatvédelmi hatóságok az Európai Adatvédelmi Testülettel egyeztetve listát készíthetnek azon esetekről, amelyeknél adatvédelmi hatásvizsgálatra van szükség. Az adatvédelmi hatásvizsgálatot az adatkezelés előtt kell elvégezni, továbbá élő eszközként kezelendő, nem csupán egyszeri tevékenységként. Amennyiben a fennmaradó kockázatok nem mérsékelhetők a bevezetett intézkedésekkel, az adatkezelés megkezdése előtt konzultálni kell az adatvédelmi hatósággal.
Példák
Adatvédelmi hatásvizsgálat szükséges
Egy bank az ügyfeleit szűri egy hitelminősítő adatbázis alapján; egy kórház új, a betegek egészségügyi adatait tartalmazó egészségügyi információs adatbázist vezet be; egy autóbusztársaság fedélzeti kamerákat telepít a vezető és az utasok viselkedésének megfigyelése érdekében.
Nincs szükség adatvédelmi hatásvizsgálatra
Egy családorvos a betegei személyes adatait kezeli. Ebben az esetben nincs szükség adatvédelmi hatásvizsgálatra, mivel az orvos általi adatkezelés nem történik nagy számban, amennyiben a betegek száma korlátozott.
Hivatkozások
Examples
DPIA required
A bank screening its customers against a credit reference database; a hospital about to implement a new health information database with patients’ health data; a bus operator about to implement on-board cameras to monitor drivers’ and passengers’ behaviour.
DPIA not required
A community doctor processing personal data of his patients. In that case, there is no need for a DPIA since the processing by the community doctors isn’t done on a large scale in cases where the number of patients is limited.