Milloin vaikutustenarviointi on pakollinen?
Päivitetty · Complian asiantuntijat
Tietosuojaa koskeva vaikutustenarviointi, englanniksi DPIA, on pakollinen, kun henkilötietojen käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille. Se tehdään ennen kuin käsittely aloitetaan, eli käytännössä ennen kuin järjestelmä otetaan käyttöön.
Aina pakollinen
Tietosuoja-asetus nimeää kolme tilannetta, joissa arviointi tarvitaan aina:
- ihmisten järjestelmällinen ja kattava arviointi tai profilointi, jonka perusteella tehdään heitä merkittävästi koskevia päätöksiä
- arkaluonteisten tietojen tai rikostietojen laajamittainen käsittely
- julkisen alueen laajamittainen järjestelmällinen valvonta
Lisäksi tietosuojavaltuutettu on julkaissut luettelon käsittelyistä, joista arviointi on tehtävä.
Yhdeksän kriteeriä
Euroopan tietosuojaviranomaisten ohjeen mukaan arviointi tarvitaan yleensä, jos käsittelyssä täyttyy kaksi tai useampi näistä:
- ihmisten arviointi tai pisteytys
- automaattinen päätöksenteko, jolla on oikeusvaikutuksia
- järjestelmällinen seuranta
- arkaluonteiset tai erittäin henkilökohtaiset tiedot
- laajamittainen käsittely
- aineistojen yhdistäminen
- haavoittuvassa asemassa olevat ihmiset, kuten lapset, potilaat tai työntekijät
- uusi teknologia, esimerkiksi tekoäly
- käsittely estää ihmistä käyttämästä oikeuttaan tai saamasta palvelua
Esimerkkejä
| Käsittely | Täyttyvät kriteerit | Arviointi |
|---|---|---|
| Tekoälyavustaja käyttää työntekijöiden sähköposteja ja dokumentteja | työntekijät, uusi teknologia, laajamittaisuus | todennäköisesti tarvitaan |
| Kunnan varhaiskasvatuksen asiakastietojärjestelmä | lapset, arkaluonteiset tiedot, laajamittaisuus | tarvitaan |
| Kameravalvonta myymälässä | järjestelmällinen seuranta, joskus laajamittaisuus | arvioitava tapauskohtaisesti |
| Pienen yrityksen uutiskirjerekisteri | ei yleensä yhtään | ei yleensä tarvita |
Mitä arviointiin kuuluu?
- Käsittelyn kuvaus ja tarkoitus
- Arvio siitä, onko käsittely tarpeellista ja oikeasuhtaista
- Riskit ihmisten oikeuksille
- Toimet riskien pienentämiseksi
Jos riski jää toimista huolimatta korkeaksi, tietosuojavaltuutettua on kuultava ennen käsittelyn aloittamista.
Kolme tyypillistä virhettä
- Arviointi tehdään käyttöönoton jälkeen. Sen pitää valmistua ennen käsittelyn alkua, jotta tulokset ehtivät vaikuttaa ratkaisuihin.
- Arvioidaan yrityksen riskejä. Arvioinnin kohde on ihminen, jonka tietoja käsitellään: mitä hänelle voi tapahtua?
- Mitään ei kirjata, kun arviointia ei tehdä. Myös päätös olla tekemättä arviointia kannattaa perustella kirjallisesti.
Tekoälytyökalun käyttöönotossa hyvä lähtökohta on tekoälytyökalujen tarkistuslista. Arvioinnin hinta riippuu koosta ja ohjelmistosta: katso esimerkkihinnat ohjelmistoittain. Suuririskisessä tekoälyssä tietyt käyttöönottajat tarvitsevat lisäksi perusoikeusvaikutusten arvioinnin.
Usein kysytyt
Kuka vaikutustenarvioinnin tekee?
Vastuu on rekisterinpitäjällä, eli organisaatiolla, joka päättää käsittelystä. Työn voi teettää ulkopuolisella. Jos tietosuojavastaava on nimetty, häneltä on pyydettävä neuvoa.
Riittääkö toimittajan tekemä arviointi?
Ei sellaisenaan. Toimittajan aineisto auttaa, mutta arviointi on tehtävä teidän omasta käsittelystänne: mihin järjestelmää käytetään, keiden tietoja se koskee ja miten käyttöoikeudet on järjestetty.
Pitääkö arviointi päivittää?
Kyllä, jos käsittelyn riski muuttuu, esimerkiksi kun järjestelmään lisätään uusi käyttötarkoitus tai uusia tietoja.
Lähteet
Tämä ohje on yleistä tietoa, ei oikeudellinen neuvo yksittäiseen tapaukseen.