Isikuandmete kaitse üldmääruse sätted põhinevad riskijuhtimise põhimõtetel. Andmekaitsealase mõjuhinnangu eesmärk on hinnata, kas andmete kaitseks rakendatavad meetmed on piisavad, et tõenäolisi ohte maandada või vähendada neid vastuvõetavale tasemele.
Iga mõistlik ettevõtja tegeleb nii praeguste kui ka tulevaste riskide hindamisega nii või teisiti.
Kes on isikuandmete vastutav töötleja ja kes volitatud töötleja?
Isikuandmete vastutav töötleja on see ettevõte/asutus, kes määrab kindlaks isikuandmete töötluse eesmärgid ja vahendid.
Volitatud töötleja on see, kes vastutava töötleja nimel ja ülesandel isikuandmeid töötleb.
Isikuandmete alast mõjuhinnangut on õiguslikus mõttes vaja kolme nõude täitmiseks:
- isikuandmete vastutaval töötlejal on kohustus võtta arvesse andmetöötlusega seotud ohte ning rakendada meetmeid, et tagada andmetöötluse vastavus isikuandmete kaitse üldmäärusele ning olla võimeline seda vastavust tõendama;
- vastutaval töötlejal on kohustus rakendada lõimitud andmekaitset, kuid riske tundmata on võimatu nende maandamise meetmeid kasutusele võtta;
- vastutaval ja volitatud töötlejal on kohustus tagada töötlemise turvalisus, kuid riske tuvastamata on keeruline öelda, kas riskide maandamise meetmed on piisavad.
Mõjuhinnang tehakse töötlemisprotsessile, mitte tervele ettevõttele või valdkonnale. Näiteks võib isikuandmete kaitse teemalist mõjuanalüüsi vaja minna uue nutirakenduse arendamisel, laenuriski mõõtva valemi parendamisel, uue turundusprojekti alustamisel või ka ajalooliste isikuandmete töötlemisel, kui tulemuseks on valem, mida saab ka teistes andmekogudes kasutada.
Andmekaitsealase mõjuhinnangu peavad tegema kõik need ettevõtted, kelle isikuandmete töötlemise laad, ulatus, kontekst ja eesmärgid tekitavad tõenäoliselt suure ohu füüsiliste isikute õigustele ja vabadustele.
Ulatusliku andmetöötlemise määratlemisel on Euroopa andmekaitsenõukogu soovitanud lähtuda näiteks:
- andmetöötluses hõlmatud isikute arvust või osakaalust asjaomases elanikkonnas;
- töödeldavate isikuandmete mahust ja/või erinevate andmekirjete arvust;
- isikuandmete töötlemise kestusest või pidevusest; isikuandmete töötlemise geograafilisest ulatusest.
Suurt ohtu põhjustav isikuandmete töötlemine toimub siis, kui kogutakse:
- eriliiki isikuandmeid või süüteoandmeid 5000 ja enama inimese kohta;
- suurt ohtu põhjustavaid andmeid 10 000 ja enama inimese kohta;
- töödeldakse isikuandmeid 50 000 ja enama inimese kohta, kui töötlemine hõlmab suurt hulka isikuandmeid, mis on kogutud paljudelt inimestelt.
Suurt ohtu põhjustavad andmed on sellised, millega kaasneb:
- identiteedivarguse või -pettuse oht (näiteks identiteedihaldusteenused);
- oht varale (eriti panga- ja krediitkaarditeenuse kaudu);
- oht sõnumisaladuse rikkumisele (eriti sideteenuse puhul);
- inimese asukoha reaalajas jälgimine (eriti sideteenuse puhul);
- inimese majandusliku seisu avalikuks saamine (eriti maksuandmete, pangaandmete ning krediidireitingu andmete kaudu, v.a avalikud andmed);
- oht õiguslike tagajärgedega või samalaadse mõjuga diskrimineerimiseks (sealhulgas töövahendusteenuses ning palga- ja karjäärivõimalusi mõjutavas hindamisteenuses);
- laste isikuandmete töötlemine (lastele suunatud teenustes, k.a õpikeskkonnad);
- juurdepääsupiiranguga teave ning ameti- ja kutsesaladusega kaitstud teave.
Mõjuhinnangu peab koostama kirjalikus vormis ja see peab sisaldama:
- mis on andmete töötlemise eesmärk, mille alusel ja milliseid isikuandmeid töödeldakse, mis on andmete töötlemise meetod;
- kuidas on töötlemiseks kavandatud valikud eesmärgi saavutamiseks vajalikud ja kohased;
- ohtude analüüsi, sh nende taseme määramist (näiteks kõrge, keskmine, madal);
- milliseid tagatisi ja meetmeid ohtude suhtes rakendatakse.
