Оценка воздействия на защиту данных (DPIA) по Статье 35 GDPR требуется всякий раз, когда обработка с большой вероятностью приведёт к высокому риску для прав и свобод физических лиц. Рабочая группа по Статье 29 (ныне EDPB) изложила девять критериев — при применении двух или более из них проводите DPIA.

Защитимая DPIA состоит из пяти этапов: описание обработки, оценка необходимости и соразмерности, идентификация рисков, идентификация мер по снижению, затем формальное утверждение и планирование пересмотра. Методология ICO и Руководящие принципы EDPB тесно согласованы по этой структуре.

При правильном выполнении DPIA — это артефакт, формирующий продукт, а не ритуал соответствия. Она выявляет риски на раннем этапе и заставляет делать выбор в отношении минимизации данных, хранения и доступа. Лучшие DPIA завершаются до написания первой строки кода.

Статья 35(1) требует DPIA, если обработка «с большой вероятностью приведёт к высокому риску». Статья 35(3) перечисляет три обязательных случая:

1. Систематическая и обширная оценка персональных аспектов на основе автоматизированной обработки, включая профилирование, которая порождает правовые последствия или аналогичным образом существенно затрагивает.
2. Обработка в больших масштабах данных особых категорий (Статья 9) или данных о судимостях (Статья 10).
3. Систематический мониторинг общедоступной зоны в больших масштабах.

Большинство надзорных органов публикуют национальные списки (Статья 35(4)) дополнительных видов обработки, всегда требующих DPIA. Проверяйте списки вашего ведущего надзорного органа и любых надзорных органов, резидентов государств-членов которых вы обрабатываете.

Если неясно, проведите тест по девяти критериям. Два или более = DPIA требуется.

1. Оценка или скоринг — профилирование, анализ поведения.
2. Автоматизированное принятие решений с правовым или аналогичным существенным эффектом.
3. Систематический мониторинг — наблюдение за общественной зоной, мониторинг сотрудников, веб-трекинг.
4. Чувствительные или особо личные данные — особые категории, данные о судимостях, а также финансовые данные, данные о местоположении, электронные коммуникации.
5. Данные, обрабатываемые в больших масштабах.
6. Сопоставление или объединение наборов данных — в том числе от разных контролёров или для разных целей.
7. Данные, касающиеся уязвимых субъектов данных — детей, работников, психически больных, лиц, ищущих убежище.
8. Инновационное использование или применение новых технологических или организационных решений — ИИ, биометрия, IoT.
9. Препятствует осуществлению субъектами данных права или использованию услуги / договора.

Основой любой DPIA является точное описание того, что вы фактически делаете с данными. Зафиксируйте:

• Характер — категории персональных данных, источники, получатели, сроки хранения, техническая безопасность, трансграничные передачи.
• Объём — объём данных, число субъектов данных, географический и временной охват.
• Контекст — характер взаимоотношений с субъектами данных, контроль, который у них есть, чувствительность контекста (рабочее место, здоровье).
• Цели — чего вы стремитесь достичь, предполагаемые результаты, ценность для бизнеса.

Дополните это диаграммой потоков данных. Свободные текстовые описания упускают то, что выявляют диаграммы потоков данных.

• Правовое основание — Статья 6(1)(a)–(f). Для специальной категории — также условие Статьи 9(2).
• Рассмотренные менее интрузивные альтернативы — могли бы вы достичь цели с меньшим объёмом данных, анонимизированными данными, агрегированными данными или более коротким сроком хранения?
• Ограничение цели — действительно ли каждая категория данных поддерживает заявленную цель?
• Минимизация данных — явный перечень полей и документированное обоснование для каждого.
• Качество и точность — какие механизмы поддерживают актуальность данных?
• Хранение и удаление — точные сроки с правовым/бизнес-обоснованием.
• Информирование и права — как вы информируете субъектов данных и как они осуществляют свои права?

Для каждого выявляемого риска задокументируйте:

• Описание риска (чётким, простым языком).
• Источник риска.
• Вероятность реализации угрозы (низкая / средняя / высокая).
• Тяжесть вреда для субъектов данных (низкая / средняя / высокая).
• Общая оценка риска.

Типы угроз, которые следует рассматривать регулярно: несанкционированный доступ (инсайдер, внешний злоумышленник), изменение (потеря целостности), потеря (уничтожение, недоступность), дискриминация, кража персональных данных, финансовые потери, репутационный ущерб, потеря конфиденциальности, потеря контроля над данными, повторная идентификация псевдонимизированных данных.

Для каждого риска определите запланированный способ обработки:

• Принять — остаточный риск приемлем. Задокументируйте почему и кто это утвердил.
• Снизить — применённые меры контроля (шифрование, управление доступом, обучение, сокращение сроков хранения).
• Избежать — изменить обработку так, чтобы устранить риск (использовать анонимизированные данные вместо других, отказаться от функции).
• Передать — договорное распределение (редко для основных рисков; часто для остаточной ответственности через страхование или условия поставщика).

Повторно оцените остаточный риск после запланированных мер контроля. Если остаточный риск остаётся высоким, вы обязаны проконсультироваться с надзорным органом до начала обработки (Статья 36).

• Рекомендация DPO (Статья 35(2)) — необходимо проконсультироваться с DPO; контролёр может отступить от рекомендации, но обязан задокументировать обоснование.
• Консультации с заинтересованными сторонами — Статья 35(9) рекомендует консультироваться с субъектами данных или их представителями, где это уместно.
• Полномочия по утверждению — как правило, старшее подотчётное лицо контролёра данных (CISO, COO или CEO для критически важной для предприятия обработки).
• Публикация — не требуется GDPR, но ICO и многие надзорные органы рекомендуют публиковать отредактированные резюме DPIA в качестве сигнала доверия.
• Цикл пересмотра — Статья 35(11) требует пересмотра при изменении риска, представляемого операциями по обработке. Назначьте плановый пересмотр как минимум ежегодно.

Предварительная консультация согласно Статье 36 требуется, когда после применения мер по снижению остаточный риск для прав и свобод остаётся высоким.

Надзорный орган получает:

• Саму DPIA.
• Обязанности контролёра и любых совместных контролёров / обработчиков.
• Цели и средства предполагаемой обработки.
• Меры и гарантии.
• Контактные данные DPO.
• Любую другую информацию, запрошенную надзорным органом.

Срок ответа надзорного органа: 8 недель (с возможностью продления на 6 недель для сложных случаев). Обработка не может начаться в течение этого периода без разрешения.

Сценарий: Логистическая компания планирует внедрить регистрацию прихода/ухода на основе распознавания лиц для 4 500 складских работников на 12 объектах в Германии и Испании.

Пороговый тест: Чувствительные данные (биометрические данные для идентификации по Статье 9) + большой масштаб + уязвимые субъекты (работники) + инновационное использование = очевидная область DPIA. Перечни надзорных органов Германии и Испании также относят биометрическую идентификацию на рабочем месте к обязательной DPIA.

Описание (Этап 1): Шаблоны лиц, формируемые с фронтальной камеры на входе на объект; сопоставление с зарегистрированным шаблоном, хранящимся на устройстве по каждому объекту; совпадения регистрируются с отметкой времени и идентификатором работника; биометрические шаблоны хранятся в течение периода занятости + 30 дней; журналы сопоставлений хранятся 3 года.

Необходимость (Этап 2): Правовое основание — Статья 6(1)(b) трудовой договор + 9(2)(b) обязательство по трудовому законодательству (Германия) и явное согласие (Испания, с участием производственного совета). Рассмотренные альтернативы: считывание PIN-карты (отклонено — отметка за коллегу), бейдж с NFC (отклонено — то же самое), отпечаток пальца (отклонено — гигиена). Обоснована необходимость шаблонов лиц по сравнению с альтернативами.

Риски (Этап 3): (a) Централизация биометрических шаблонов создаёт «приманку» для взлома. (b) Ложное несовпадение, приводящее к удержанию заработной платы. (c) Расширение назначения — данные регистрации прихода используются для оценки эффективности. (d) Принуждение работников: отказ от сбора биометрии вынуждает к худшим условиям.

Обработка (Этап 4): (a) Локальное устройство по каждому объекту; шаблоны зашифрованы ключами, управляемыми HSM; нет копии в облаке. (b) Рабочий процесс ручного переопределения при несовпадении; расчёт заработной платы не может производить удержание исключительно на основании сбоя регистрации прихода. (c) Договорной запрет + техническое разделение между данными регистрации прихода и HR-системами оценки эффективности. (d) Реальный путь отказа (запасной вариант с бейджем) без ущерба, задокументированный в соглашении с производственным советом.

Утверждение: Получена рекомендация DPO — рекомендовано удаление шаблонов лиц через 7 дней после прекращения занятости вместо 30. Контролёр принял. Получено согласование производственного совета. Остаточный риск: средне-низкий. Консультация с надзорным органом не требуется.

• Пропуск порогового теста. Провели DPIA рано; позже поняли, что она не нужна. Обратное (не провели, а проверка выявила необходимость) гораздо хуже.
• Отношение к необходимости как к формальности. «Рассмотренные менее интрузивные альтернативы» — раздел, который регуляторы читают наиболее внимательно. Формальные упоминания не выдержат аудита.
• Неопределённость владельца риска. Риски без названного подотчётного лица, как правило, остаются необработанными.
• Пропуск этапа консультации с субъектами данных. Где это уместно (работники, большая база пользователей), консультация по Статье 35(9) усиливает защищённость позиции.
• Отсутствие повторной оценки остаточного риска. Если вы не проводите повторную оценку после обработки, вы не можете продемонстрировать, срабатывает ли Статья 36.
• Отношение к DPIA как к разовому артефакту. Существенные изменения (новая категория данных, новый обработчик, новая юрисдикция, новая цель) повторно запускают оценку.
• Поручение инженерному отделу самостоятельно завершить DPIA. Участие специалиста по конфиденциальности требуется Статьёй 35(2). Без него оценка лишена правовой основы.