Meta għanda ssir Valutazzjoni tal-Impatt tal-Protezzjoni tad-Data (DPIA)?

Tweġiba

Id-DPIA hija meħtieġa kull meta l-ipproċessar aktarx li jirriżulta f'riskju għoli għad-drittijiet u l-libertajiet tal-individwi. Id-DPIA hija meħtieġa mill-inqas f'dawn il-każijiet li ġejjin:

• l-evalwazzjoni sistematika u estensiva tal-aspetti personali ta' individwu, inkluż il-ħolqien ta' profili;
• l-ipproċessar ta' data sensittiva fuq skala kbira;
• il-monitoraġġ sistematiku ta' żoni pubbliċi fuq skala kbira.

L-Awtoritajiet Nazzjonali għall-Protezzjoni tad-Data, bi ftehim mal-Bord Ewropew għall-Protezzjoni tad-Data, jistgħu jipprovdu listi ta' każijiet fejn tkun meħtieġa d-DPIA. Id-DPIA għandha titwettaq qabel l-ipproċessar u għandha titqies bħala għodda ħajja, mhux biss bħala eżerċizzju ta' darba. Meta jkun hemm riskji residwi li ma jistgħux jiġu mmitigati bil-miżuri mdaħħla fis-seħħ, l-APD għandha tiġi kkonsultata qabel il-bidu tal-ipproċessar.

Eżempji

Id-DPIA hija meħtieġa
Bank li jevalwa l-klijenti tiegħu skont bażi ta' data ta' referenza tal-kreditu; sptar li wasal biex jimplimenta bażi ta' data ġdida b'informazzjoni dwar is-saħħa bid-data dwar is-saħħa tal-pazjenti; operatur tax-xarabank li wasal biex jimplimenta kameras abbord biex jimmonitorja l-imġiba tax-xufiera u tal-passiġġieri.

Id-DPIA mhix meħtieġa
It-tabib tal-komunità jipproċessa d-data personali tal-pazjenti tiegħu. F'dak il-każ, m'hemmx bżonn ta' DPIA għaliex l-ipproċessar mit-tobba tal-komunità ma jsirx fuq skala kbira f'każijiet fejn in-numru ta' pazjenti huwa limitat.

Referenzi

• Artikolu 29 Linji gwida tal-Grupp ta' Ħidma dwar il-Valutazzjoni tal-Impatt fuq il-Protezzjoni tad-Data (DPIA) u d-determinazzjoni ta' jekk huwiex “probabbli li l-ipproċessar jirriżulta f'riskju għoli” għall-finijiet tar-Regolament 2016/679, 4 ta' April 2017
• Artikoli 35, 36; Premessi 89, 90, 91, 92, 93, 94, 95, 96

Examples

DPIA required
A bank screening its customers against a credit reference database; a hospital about to implement a new health information database with patients’ health data; a bus operator about to implement on-board cameras to monitor drivers’ and passengers’ behaviour.

DPIA not required
A community doctor processing personal data of his patients. In that case, there is no need for a DPIA since the processing by the community doctors isn’t done on a large scale in cases where the number of patients is limited.