DPIA (Data Protection Impact Assessment), suomeksi tietosuojan vaikutustenarviointi, on GDPR:n artiklan 35 edellyttämä prosessi. Sen avulla organisaatio tunnistaa ja arvioi henkilötietojen käsittelyyn liittyvät riskit ennen käsittelyn aloittamista tai merkittävien muutosten tekemistä.
Milloin DPIA tarvitaan?¶
DPIA on pakollinen, kun henkilötietojen käsittely todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille. GDPR:n artiklan 35 mukaan tämä koskee erityisesti:
- Profilointia — Henkilöiden systemaattinen arviointi, jolla on merkittäviä vaikutuksia
- Arkaluonteisia tietoja — Terveys-, genetiikka-, biometria-, rotu- tai uskontotiedot laajamittaisesti
- Julkisia alueita — Rekisteröityjen systemaattinen seuranta yleisillä alueilla
- Uusia teknologioita — Uudet tekniset tai organisatoriset ratkaisut, joiden vaikutuksia ei tunneta hyvin
- Automatisoidut päätökset — Päätökset, joilla on merkittäviä vaikutuksia ja jotka tehdään automaattisesti
Tietosuojaviranomaiset julkaisevat myös omia listojaan käsittelytoimista, joille DPIA on aina tehtävä. Suomen Tietosuojavaltuutetun toimisto on julkaissut tällaisen listan.
DPIA:n vaiheet¶
1. Käsittelytoimien kuvaus¶
Ensimmäinen vaihe on kuvata systemaattisesti, mitä henkilötietoja käsitellään, miten ja miksi:
- Mitä henkilötietoja kerätään?
- Mikä on käsittelyn tarkoitus ja oikeudellinen perusta?
- Kuinka kauan tietoja säilytetään?
- Kenen kanssa tietoja jaetaan?
- Siirretäänkö tietoja EU:n ulkopuolelle?
2. Tarpeellisuuden ja suhteellisuuden arviointi¶
Arvioi, onko käsittely tarpeellista ja suhteessa käsittelyn tavoitteeseen:
- Voidaanko tavoite saavuttaa vähemmällä datalla?
- Onko säilytysaika minimaalinen?
- Onko anonymisointi tai pseudonymisointi mahdollista?
3. Riskien tunnistaminen¶
Tunnista riskit rekisteröidyille:
- Henkilöllisyyden paljastuminen
- Syrjintä tai profilointi
- Taloudellinen vahinko
- Mainehaitta
- Fyysinen vahinko
4. Riskien lieventäminen¶
Jokaiselle tunnistetulle riskille tulee määrittää lieventämistoimenpiteet:
- Tekniset toimenpiteet (salaus, anonymisointi, pääsynhallinta)
- Organisatoriset toimenpiteet (koulutus, politiikat, sopimukset)
5. Jäljelle jäävän riskin arviointi¶
Kun lieventämistoimenpiteet on huomioitu, arvioi jäljelle jäävä riski. Jos jäljelle jäävä riski on edelleen korkea, tulee konsultoida valvontaviranomaista ennen käsittelyn aloittamista.
6. Dokumentointi ja hyväksyntä¶
Dokumentoi koko prosessi ja saa DPO:n (tietosuojavastaavan) lausunto. Johdon tulee hyväksyä DPIA ennen käsittelyn aloittamista.
Kuka tekee DPIA:n?¶
DPIA on rekisterinpitäjän vastuulla. Käytännössä se tehdään yhteistyössä:
- IT / tietoturva — Tekninen arviointi
- Juridinen / compliance — Oikeudellinen arviointi
- Liiketoiminta — Tarkoituksen ja tarpeen arviointi
- DPO (tietosuojavastaava) — Koordinointi ja lausunto (pakollinen)
Kuinka usein DPIA päivitetään?¶
DPIA ei ole kertaluonteinen dokumentti. Se tulee päivittää aina, kun:
- Käsittelytoimi muuttuu merkittävästi
- Teknologia tai prosessi muuttuu
- Uusia riskejä tunnistetaan
- Tietoturvaloukkauksesta opitaan jotakin uutta
Suositeltavaa on tehdä säännöllinen katselmus vähintään kerran vuodessa.
DPIA ja PrivacyDesigner¶
PrivacyDesigner-ohjelmisto tukee DPIA:n tekemistä alusta loppuun:
- Visuaaliset tietovirrat auttavat käsittelytoimien kuvaamisessa
- Valmiit vaatimuskehikot ohjaavat riskien tunnistamisessa
- Automaattinen dokumentaatio generoi DPIA-raportin
- Tehtävien hallinta varmistaa päivitysprosessin
PrivacyDesigner auttaa käytännössä
Ohjelmistomme ja asiantuntijapalvelumme tekevät tietosuojatyöstä hallittavaa. Varaa maksuton tapaaminen.
Varaa demo