Visok rizik nakon procjene: prethodno savjetovanje prije početka obrade

Procjena uticaja na zaštitu podataka može dovesti do jasnog zaustavljanja projekta: ako i nakon planiranih mjera ostane visok rizik za prava i slobode fizičkih lica, rukovalac prije početka obrade mora konsultovati nadzorno tijelo. Ovo prethodno savjetovanje prema članu 36 GDPR-a poseban je korak odlučivanja, a ne samo još jedan dio procjene uticaja.

Tekst objašnjava kako preduzeće prepoznaje potrebu za savjetovanjem, koje informacije pripadaju paketu i zašto ćutanje tijela nije zamjena za razjašnjenje. Fokus je na situaciji nakon procjene uticaja, a ne na opštem pitanju kako se takva procjena izrađuje.

Član 36 stav 1 GDPR-a povezuje prethodno savjetovanje sa rezultatom procjene uticaja. Rukovalac mora konsultovati nadzorno tijelo prije obrade kada procjena pokaže da bi obrada predstavljala visok rizik koji se mjerama rukovaoca ne može dovoljno ublažiti.

Nije odlučujuće da li postoji bilo kakav rizik. Obrada ličnih podataka rijetko je potpuno bez rizika. Važno je da li objektivna procjena i dalje pokazuje visok rizik za prava i slobode fizičkih lica i da li tehničke i organizacione mjere mogu taj rizik spustiti na dovoljno kontrolisan nivo.

Savjetovanje je zato završni korak pouzdane procjene rizika. Ono ne zamjenjuje opis obrade niti izbor mjera. Preduzeće ga ne treba shvatiti kao naknadnu potvrdu projekta koji je već pušten u rad.

Procjena uticaja treba pokazati koji rizici postoje na početku i koje mjere treba da ih smanje. To mogu biti ograničenja pristupa, zapisivanje aktivnosti, pravila brisanja, šifrovanje, ljudska kontrola, testiranje i postupci za ispravku netačnih rezultata. Mjera mora biti stvarno izvodljiva u predviđenoj upotrebi, a ne samo obećana u materijalu dobavljača.

Konačna odluka treba odvojeno prikazati početni rizik, očekivani učinak svake mjere i preostali rizik. Opšta uvjeravanja dobavljača ili neprovjeren koncept sami po sebi ne dokazuju da je rizik stvarno smanjen.

Promjena svrhe, izvora podataka, primalaca, pogođenih grupa ili tehničkog postupka može obesnažiti raniju procjenu. Član 35 stav 11 GDPR-a traži provjeru najmanje kada se promijeni rizik koji proizlazi iz obrade. Odluka o savjetovanju zato mora biti vezana za konkretnu verziju obrade.

Član 36 stav 3 GDPR-a navodi informacije koje rukovalac dostavlja nadzornom tijelu. To obuhvata odgovornosti rukovaoca i eventualnog izvršioca obrade, svrhe i sredstva planirane obrade, mjere i garancije za zaštitu prava i sloboda ispitanika te kontakt službenika za zaštitu podataka ako je imenovan.

Paket treba sadržati i procjenu uticaja prema članu 35 GDPR-a. Ona treba objasniti konkretnu obradu, nužnost i srazmjernost, rizike i predložene mjere, a ne samo navesti zaključak. Dostavljaju se i druge informacije koje nadzorno tijelo zatraži.

Praktična struktura može sadržati kratak pregled projekta, prikaz uloga i odgovornosti, tokove podataka i primaoce, procjenu uticaja, registar mjera i kontakt za pitanja. Pojmovi procjena uticaja na zaštitu podataka i prijava nadzornom organu dodatno su objašnjeni u pojmovniku. Tako se vidi koji dokument potkrepljuje pojedinu tvrdnju.

Prethodno savjetovanje je postavljeno prije početka obrade. Preduzeće zato treba imati obaveznu tačku zadržavanja u planu projekta. Nabavka, IT, stručna služba i odgovorno lice za zaštitu podataka moraju razumjeti da tehničko puštanje u rad nije automatski zakonit početak obrade.

To važi i kada je dobavljač već podešen, model obučen ili pilot završen. Pilot može otkriti nove informacije o greškama, posljedicama i pogođenim licima. Te informacije treba unijeti u procjenu i paket za savjetovanje prije širenja produkcijskog obima.

Za raspodjelu uloga sa spoljnim pružaocima dodatni kontekst daje stranica o izvršiocima obrade i pružaocima usluga. Prethodno savjetovanje ostaje odvojeno: ono se odnosi na visok rizik konkretne obrade, a ne samo na naziv ugovorne uloge.

Prema članu 36 stav 2 GDPR-a, nadzorno tijelo daje pisani savjet rukovaocu i, po potrebi, izvršiocu obrade u roku do osam sedmica od prijema zahtjeva ako smatra da bi planirana obrada kršila Uredbu. Kod složene obrade rok se može produžiti za najviše šest sedmica, a tijelo o produženju obavještava rukovaoca i izvršioca kada je to primjenjivo.

Rok nije opšta dozvola zbog ćutanja. Član 36 stav 2 GDPR-a izričito pojašnjava da izostanak reakcije u roku ne sprečava dalje intervencije nadzornog tijela prema Uredbi. Početak produkcije zato zahtijeva sopstvenu dokumentovanu odluku zasnovanu na stvarnom odgovoru i trenutnom riziku.

Ako tijelo utvrdi nedovoljnu procjenu ili smanjenje rizika, može koristiti ovlaštenja prema članu 58 GDPR-a. Pitanja, dodatne dokumente i izmjene mjera zato treba čuvati u povezanoj projektnoj dokumentaciji.

Projektna dokumentacija treba sadržati razlog za procjenu, verziju obrade, procjenu rizika, mjere i odluku o savjetovanju. Nakon podnošenja treba sačuvati poslani paket, pitanja, odgovore, obavijesti o rokovima i konačnu odluku o početku produkcije.

Promjena zahtijeva novu uporednu provjeru. Drugi dobavljač, novi izvor podataka ili veći broj korisnika mogu pokrenuti novu procjenu. Odluka treba biti vezana za konkretnu verziju obrade, a ne samo za naziv proizvoda.

Postojeći tekst o procjeni uticaja kod novog softvera i AI-ja objašnjava prethodnu provjeru praga. Stranica o usklađenosti i upravljanju privatnošću daje organizacioni okvir, a provjera uloga pomaže kod prve raspodjele između rukovaoca i izvršioca obrade.

Pomažemo vam da procijenite da li procjena i dalje pokazuje visok rizik, da li su mjere dovoljno dokumentovane i koje informacije pripadaju paketu za savjetovanje. Pošaljite opis obrade, procjenu uticaja, registar mjera, raspodjelu uloga i planirani datum početka kako bi se naredni korak pouzdano odredio.