Оценка воздействия и предварительная консультация

Что такое оценка воздействия

Оценка воздействия на защиту персональных данных — это анализ, который оператор проводит до начала обработки с высоким риском, чтобы оценить воздействие запланированных операций по обработке на защиту персональных данных ст. 35 ч. (1). Минимальное содержание оценки установлено законом ст. 35 ч. (7), а оператор должен быть в состоянии доказать, что обработка соответствует закону ст. 24 ч. (1).

Когда она нужна

Эта обязанность не общая. Оператор проводит оценку, если с учетом характера, области применения, специфики и целей обработки определенный ее вид, в частности основанный на новых технологиях, может повлечь высокий риск для прав и свобод физических лиц ст. 35 ч. (1). Закон называет три ситуации, в которых оценка требуется в особенности:

• систематическая и всесторонняя оценка личностных аспектов на основе автоматической обработки, включая профайлинг, которая лежит в основе решений с юридическими или аналогичными значимыми последствиями ст. 35 ч. (3) п. a);
• широкомасштабная обработка особых категорий данных или данных об уголовных приговорах и преступлениях ст. 35 ч. (3) п. b);
• систематический широкомасштабный мониторинг общедоступной зоны ст. 35 ч. (3) п. c).

Национальный центр по защите персональных данных утверждает перечень видов операций, для которых нужна оценка ст. 35 ч. (4), и может утвердить перечень тех, для которых она не требуется ст. 35 ч. (5). Перечни публикуются в Официальном мониторе Республики Молдова и на официальной веб-странице Центра ст. 35 ч. (6).

Одна оценка может охватывать ряд схожих операций, представляющих схожие высокие риски ст. 35 ч. (1). Для обработки на основании предусмотренного законом обязательства или задачи в общественных интересах оценка не нужна, если она уже была проведена в рамках общей оценки воздействия при принятии нормативных актов, предусматривающих обработку, кроме случаев, когда эти акты требуют провести ее до начала обработки ст. 35 ч. (10).

Кто участвует

Если назначено лицо, ответственное за защиту данных, оператор запрашивает его заключение ст. 35 ч. (2). При необходимости оператор запрашивает и мнение субъектов персональных данных или их представителей ст. 35 ч. (9). Соблюдение утвержденного кодекса поведения надлежащим образом учитывается при оценке воздействия ст. 35 ч. (8).

Оценка проводится не раз и навсегда: при необходимости оператор проверяет, ведется ли обработка в соответствии с ней, по меньшей мере при изменении риска ст. 35 ч. (11).

Предварительная консультация с Центром

Оператор консультируется с Центром до начала обработки, если оценка показывает, что обработка может повлечь высокий риск без мер по его снижению ст. 36 ч. (1). При этом он предоставляет предусмотренную законом информацию, в том числе саму оценку воздействия ст. 36 ч. (3).

Если Центр считает, что запланированная обработка может нарушить закон, он дает оператору письменную рекомендацию не позднее восьми недель после получения запроса; этот срок может быть продлен на шесть недель в зависимости от сложности. Центр вправе также использовать любые свои полномочия ст. 36 ч. (2), ст. 60.

Почему это важно

За нарушение обязанностей по оценке воздействия и предварительной консультации предусмотрены штрафы до 1 000 000 леев, а для предприятия — до 1% общего оборота за год, предшествующий наложению санкции, в зависимости от того, какая сумма больше ст. 88 ч. (1) п. a).