Какво обхваща задължението за отчетност?

От 25 май 2018 г. във всички държави-членки на Европейския съюз ще се прилагат нови правила за защита на личните данни. Те са уредени в т.нар. Общ регламент за защита на личните данни (GDPR). Новата правна рамка запазва редица основополагащи принципи и понятия от съществуващата към момента нормативна уредба, но в същото време въвежда по-високи стандарти за защита на данните, разширени права на физическите лица и нови задължения на администраторите на лични данни.

Едно от тях е задължението за отчетност, посочват от Комисията за защита на личните данни. Това е на практика способността във всеки един момент администраторът на лични данни да удостовери и да докаже, че обработва личните данни законосъобразно, добросъвестно, прозрачно, за конкретни и пропорционални цели, с подходящо ниво на сигурност и защита.

Основните средства за спазване на принципа на отчетност са: поддържането на регистри на дейностите по обработване; определяне на длъжностно лице по защита на личните данни, когато такова се изисква; извършване на оценка на въздействието при наличие на висок риск за правата и свободите на физическите лица; своевременно уведомяване на Комисията за защита на личните данни и субекта на данните при нарушения на сигурността;прилагане на доброволни механизми за сертифициране и/или спазването на кодекси на поведение.

Оценката на въздействието е важен инструмент за отчетност, тъй като помага на администраторите не само да спазват изискванията на Общия регламент за защита на личните данни, но и да демонстрират, че са взети подходящи мерки, за да се гарантира спазването на регламента. Като процес тя трябва да опише обработването на лични данни и да оцени необходимостта и пропорционалността на обработката. Така спомага за избора на най-подходящите технически и организационни мерки за защита.

Оценката на въздействието може да се отнася до единична операция за обработване на данни или до многобройни повтарящи се или сходни операции.

В съответствие с подхода, основан на риска, въведен с Общия регламент за защита на личните данни, извършването на оценка на въздействието върху защитата на личните данни не е задължително за всяка операция по обработване. Тя се изисква само когато обработването на лични данни има вероятност да доведе до висок риск за правата и свободите на физическите лица. Операции по обработване, които по правило пораждат висок риск, са например извършването на: автоматично вземане на решения, включително профилиране; мащабно обработване на данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, генетични данни, биометрични данни, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация, както и данни за предишни осъждания на лицето; систематично мащабно наблюдение на публично достъпна зона.

Оценка на въздействието може да бъде извършена от самия администратор, негов служител или от лице, външно за организацията, но отговорността за извършването й остава на самия администратор. Администраторът задължително трябва да потърси съвет от служителя по защита на данните, когато такъв е определен, а взетите решения следва да бъдат документирани.

Общият регламент за защита на личните данни определя минималното съдържание на оценката на въздействието: системен опис на предвидените операции по обработване и целите на обработването, включително, ако е приложимо, преследвания от администратора законен интерес; оценка на необходимостта и пропорционалността на операциите по обработване по отношение на целите; оценка на рисковете за правата и свободите на субектите на данни, мерките, предвидени за справяне с рисковете, включително гаранциите, мерките за сигурност и механизмите за осигуряване на защитата на личните данни и за демонстриране на спазването на настоящия регламент, като се вземат предвид правата и законните интереси на субектите на данни и на други заинтересовани лица.

Администраторът задължително провежда предварителна консултация с КЗЛД, ако оценката на въздействието върху защитата на данните покаже, че обработването ще породи висок риск, ако не се предприемат ефективни мерки за ограничаването му.