Kratak odgovor: Procjena utjecaja na zaštitu podataka (DPIA) zakonski je obavezna prema GDPR članu 35 kad god aktivnost obrade vjerovatno rezultira visokim rizikom za prava i slobode pojedinaca. Ovo se odnosi na aktivnosti kao što su opsežno profilisanje, sistematsko praćenje javnih prostora i obrada posebnih kategorija podataka. Neprovođenje DPIA kada je to potrebno može izložiti vašu organizaciju značajnim regulatornim kaznama i narušavanju ugleda.
Ključne tačke
- DPIA je obavezna prema GDPR članu 35 za aktivnosti obrade koje "vjerovatno rezultiraju visokim rizikom" za prava i slobode pojedinaca [3]
- Tri vrste obrade uvijek zahtijevaju DPIA: sistematska procjena pojedinaca, obrada osjetljivih podataka velikih razmjera i sistematsko praćenje javno dostupnih područja [3]
- Nacionalna tijela za zaštitu podataka objavljuju liste operacija obrade koje zahtijevaju DPIA, pružajući smjernice specifične za jurisdikciju [3]
- Preskakanje obavezne DPIA može rezultirati kaznama do 10 miliona eura ili 2% globalnog godišnjeg prometa prema GDPR-u
- EDPB je usvojio standardizirani DPIA predložak u aprilu 2026. kako bi poboljšao dosljednost u državama članicama EU [1]
- AI sistemi i modeli mašinskog učenja koji donose automatizirane odluke sa značajnim efektima na pojedince gotovo uvijek zahtijevaju DPIA [2]
- Mala preduzeća nisu automatski izuzeta; okidač je priroda obrade, a ne veličina organizacije [5]
- DPIA je živi dokument koji se mora pregledati i ažurirati kad god se aktivnosti obrade materijalno promijene [3]
- Ako preostali rizici ostanu visoki nakon ublažavanja, organizacije se moraju konsultovati sa svojim nadzornim tijelom prije nastavka [3]
- DPIA se razlikuje od Procjene utjecaja na privatnost (PIA) prvenstveno po svojoj pravnoj osnovi i obaveznim konsultacijama
Šta je DPIA i zašto vam je potrebna?
Procjena utjecaja na zaštitu podataka je strukturirani proces koji pomaže organizacijama da identifikuju, procijene i ublaže rizike za pojedince koji proizlaze iz aktivnosti obrade podataka. Prema GDPR-u, to nije opcionalna smjernica, to je zakonska obaveza za obradu visokog rizika [3].
Osnovna svrha DPIA je odgovornost. Ona prisiljava organizacije da sistematski razmišljaju o tome koje podatke prikupljaju, zašto ih prikupljaju, ko ima pristup i šta bi moglo poći po zlu. Irska komisija za zaštitu podataka opisuje je kao alat koji pokazuje da je organizacija razmotrila rizike privatnosti prije početka obrade, a ne nakon što se dogodi povreda [5].
DPIA obično pokriva:
- Opis obrade i njenih svrha
- Procjenu nužnosti i proporcionalnosti
- Procjenu rizika za subjekte podataka
- Planirane mjere za rješavanje tih rizika
EDPB je usvojio standardizirani DPIA predložak u aprilu 2026. kako bi pomogao organizacijama da dosljedno strukturiraju ovaj proces širom EU [1].
Kada je DPIA obavezna prema GDPR-u?
GDPR član 35 zahtijeva DPIA prije bilo kakve obrade koja "vjerovatno rezultira visokim rizikom" za prava i slobode fizičkih lica [3]. Tri specifična scenarija uvijek pokreću ovu obavezu:
- Sistematsko i opsežno profilisanje sa značajnim efektima, uključujući automatizirano donošenje odluka
- Obrada posebnih kategorija podataka velikih razmjera (zdravstveni, biometrijski, rasno porijeklo, itd.) ili ličnih podataka koji se odnose na krivične presude
- Sistematsko praćenje javno dostupnih područja velikih razmjera
Osim ova tri, nacionalna nadzorna tijela objavljuju liste operacija obrade koje zahtijevaju DPIA u njihovoj jurisdikciji. Organizacije koje posluju u više država članica EU trebale bi provjeriti svaku relevantnu nacionalnu listu.
Pravilo odluke: Ako vaša obrada ispunjava dva ili više od devet kriterija rizika EDPB-a (nova tehnologija, veliki razmjeri, osjetljivi podaci, sistematsko praćenje, podudaranje ili kombinovanje skupova podataka, ranjivi subjekti podataka, inovativna upotreba, rizik od uskraćivanja usluge ili automatizirano donošenje odluka), DPIA je gotovo sigurno potrebna [4].
Šta se smatra obradom podataka visokog rizika?
Obrada visokog rizika definisana je prirodom, opsegom, kontekstom i svrhom aktivnosti, a ne samo količinom uključenih podataka. EDPB pruža smjernice koje identifikuju specifične karakteristike koje obradu podižu na status visokog rizika [4].
Ključni pokazatelji uključuju:
| Indikator rizika | Primjer |
|---|---|
| Automatizirano donošenje odluka | Bodovanje kredita, modeli rizika osiguranja |
| Osjetljive kategorije podataka | Zdravstveni kartoni, biometrijska autentifikacija |
| Obrada velikih razmjera | Nacionalne baze podataka programa lojalnosti |
| Praćenje javnih površina | CCTV sa prepoznavanjem lica |
| Podudaranje ili kombinovanje podataka | Unakrsno referenciranje društvenih medija sa historijom kupovine |
| Ranjivi subjekti podataka | Djeca, pacijenti, zaposlenici |
| Nova ili neprovjerena tehnologija | Generativna AI, alati za detekciju emocija |
Jedan indikator ne nalaže automatski DPIA, ali dva ili više u kombinaciji gotovo uvijek to čine. Obrada koja uključuje i osjetljive podatke i automatizirano donošenje odluka, na primjer, bez sumnje prelazi prag.
Kako da znam da li mom poslovanju treba DPIA?
Odgovor zavisi od toga šta vaša organizacija zapravo radi sa ličnim podacima, a ne od vaše industrije ili veličine kompanije. Svaki kontrolor, bilo da je to startup, bolnica ili marketinška agencija, mora provesti DPIA ako njihova obrada ispunjava prag visokog rizika [5].
Praktičan proces skrininga:
- Mapirajte sve trenutne aktivnosti obrade podataka
- Primijenite devet kriterija rizika EDPB-a na svaku aktivnost
- Provjerite objavljenu listu "obaveznih" aktivnosti vašeg nacionalnog nadzornog tijela
- Za svaku aktivnost koja ispunjava dva ili više kriterija, pokrenite DPIA
- Dokumentujte odluku o skriningu čak i kada DPIA nije potrebna
Česta greška: Organizacije pretpostavljaju da su izuzete jer su male. Veličina je nebitna. Startup od dvije osobe koji koristi AI-bazirani alat za zapošljavanje koji donosi automatizirane odluke o kandidatima za posao mora provesti DPIA.
Šta se dešava ako ne uradite DPIA kada je to potrebno?
Neprovođenje obavezne DPIA samo po sebi je kršenje GDPR-a, neovisno o tome da li je došlo do stvarne štete za subjekte podataka. Nadzorna tijela mogu izreći kazne do 10 miliona eura ili 2% globalnog godišnjeg prometa za ovo specifično kršenje [3].
Osim finansijskih kazni, posljedice uključuju:
- Obaveznu obustavu aktivnosti obrade
- Narušavanje ugleda zbog javnih odluka o provođenju
- Povećanu kontrolu i obaveze revizije od strane nadzornog tijela
- Ličnu odgovornost za službenike za zaštitu podataka koji nisu pravilno savjetovali
Ako preostali rizici ostanu visoki nakon primjene mjera ublažavanja, organizacije se moraju konsultovati sa svojim nadzornim tijelom prije početka obrade. Nastavak bez tih konsultacija je dodatno kršenje [3].
DPIA vs. Procjena utjecaja na privatnost: Koja je razlika?
Procjena utjecaja na privatnost (PIA) je širi, dobrovoljni okvir najbolje prakse koji prethodi GDPR-u. DPIA je njen zakonski obavezni nasljednik prema zakonu EU o zaštiti podataka. Ova dva termina se ponekad koriste naizmjenično, ali nose različite obaveze.
| Karakteristika | PIA | DPIA |
|---|---|---|
| Pravna osnova | Najbolja praksa | GDPR član 35 |
| Obavezno | Ne | Da, kada je visok rizik |
| Konsultacije sa nadzornim tijelom | Nije potrebno | Potrebno ako je preostali rizik visok |
| Standardizirani predložak | Različito | EDPB predložak (2026) [1] |
| Obaveza dokumentacije | Preporučeno | Zakonski obavezno |
Organizacije koje su provele PIA prije stupanja na snagu GDPR-a trebale bi pregledati da li te procjene ispunjavaju strožiji DPIA standard.
DPIA zahtjevi za AI i mašinsko učenje
AI sistemi koji donose ili značajno utječu na odluke o pojedincima gotovo uvijek zahtijevaju DPIA. Automatizirano donošenje odluka sa pravnim ili slično značajnim efektima jedan je od tri osnovna okidača prema GDPR članu 35 [4].
EU AI Act, koji je u potpunosti stupio na snagu 2. augusta 2026., uvodi dodatni sloj: Procjenu utjecaja na temeljna prava (FRIA) za AI sisteme visokog rizika. Organizacije se snažno potiču da integrišu svoje DPIA i FRIA procese kako bi izbjegle dupliciranje napora i osigurale sveobuhvatno pokrivanje rizika zaštite podataka i temeljnih prava [2].
Specifični slučajevi upotrebe AI koji zahtijevaju DPIA uključuju:
- Algoritmi za zapošljavanje koji filtriraju ili rangiraju kandidate
- Modeli bodovanja kredita i osiguranja
- Prediktivni policijski sistemi ili sistemi za otkrivanje prevara
- Alati za dijagnozu zdravlja ili preporuke za liječenje
- Platforme za bihevioralno oglašavanje koje koriste inferirane profile
Granični slučaj: Čak i AI sistemi koji ne donose konačne odluke, ali značajno utječu na ljudske donosioce odluka, mogu pokrenuti zahtjev za DPIA ako je osnovna obrada podataka velikih razmjera ili uključuje osjetljive kategorije.
Da li mala preduzeća trebaju raditi DPIA?
Mala i srednja preduzeća nisu izuzeta od DPIA obaveza. Pravni okidač je priroda i nivo rizika aktivnosti obrade, a ne veličina ili prihod organizacije [5].
Međutim, mnoga mala preduzeća se bave obradom niskog rizika, upravljanjem listom e-pošte kupaca, na primjer, što ne zahtijeva DPIA. Obaveza nastaje samo kada sama obrada pređe prag visokog rizika.
Odaberite DPIA ako vaše malo preduzeće:
- Koristi automatizirano profilisanje za personalizaciju sadržaja ili cijena
- Obrađuje zdravstvene, finansijske ili biometrijske podatke
- Upravlja platformom na kojoj su djeca vjerovatni korisnici
- Primjenjuje tehnologije praćenja koje grade bihevioralne profile u velikom obimu
Platforma za upravljanje saglasnošću kao što je Biscotti CMP može pomoći malim preduzećima da upravljaju evidencijama saglasnosti i demonstriraju odgovornost, što podržava širi okvir usklađenosti unutar kojeg se nalazi DPIA.
Šta treba uključiti u DPIA izvještaj?
Kompletan DPIA izvještaj mora sadržavati nekoliko obaveznih elemenata prema GDPR članu 35(7) [3]:
- Sistematski opis operacija obrade i njihovih svrha, uključujući legitimni interes koji se ostvaruje, ako je primjenjivo
- Procjena nužnosti i proporcionalnosti u odnosu na navedenu svrhu
- Procjena rizika za prava i slobode subjekata podataka
- Predviđene mjere za rješavanje rizika, uključujući zaštitne mjere, sigurnosne mjere i mehanizme za osiguranje zaštite podataka
Standardizirani predložak EDPB-a iz 2026. godine strukturira ove elemente u dosljedan format koji prepoznaju nadzorna tijela širom EU [1]. Korištenje istog smanjuje rizik da se DPIA smatra nepotpunom tokom revizije.
Dodatni elementi najbolje prakse uključuju evidenciju konsultacija sa službenikom za zaštitu podataka, doprinos dionika od subjekata podataka ili njihovih predstavnika gdje je to izvodljivo, i odobrenje preostalog rizika.
Koliko košta DPIA i možete li je sami uraditi?
Trošak DPIA-e varira uvelike ovisno o složenosti. Jednostavna interna procjena za dobro dokumentiranu aktivnost obrade može se završiti interno za nekoliko dana. Složene procjene koje uključuju AI sisteme, prekogranične tokove podataka ili više kontrolora podataka mogu trajati sedmicama i mogu zahtijevati vanjsku pravnu ili tehničku ekspertizu.
Okvirni rasponi troškova (procjene na osnovu tržišnih normi):
- Interna DPIA za obradu niske složenosti: minimalni trošak, prvenstveno vrijeme osoblja (8-20 sati)
- DPIA koju vodi konsultant za umjerenu složenost: obično 2.000-8.000 eura
- Potpuna pravna i tehnička revizija za AI sisteme visoke složenosti: 10.000 eura ili više
Organizacije sa imenovanim DPO-om trebale bi ih uključiti od samog početka. Uloga DPO-a uključuje savjetovanje o tome da li je DPIA potrebna i pregled završene procjene [3]. Za organizacije bez interne ekspertize, angažovanje specijaliziranog konsultanta je preporučljivo za svaku obradu koja uključuje novu tehnologiju ili osjetljive kategorije podataka.
Koliko često trebate ažurirati ili ponovo raditi DPIA?
DPIA nije jednokratna vježba. To je živi dokument koji se mora pregledati kad god dođe do materijalne promjene u aktivnosti obrade koju pokriva [3].
Okidači za pregled ili potpunu ponovnu procjenu uključuju:
- Uvođenje nove tehnologije ili novog dobavljača u lancu obrade
- Proširenje opsega ili volumena prikupljenih podataka
- Promjena svrhe obrade
- Povreda podataka ili skoro promašaj koji otkriva prethodno neidentifikovane rizike
- Nove smjernice nadzornog tijela koje utječu na procjenu rizika
- Značajne promjene u pravnom ili regulatornom okruženju
Kao osnovu, organizacije bi trebale zakazati periodični pregled svih DPIA-a najmanje svake dvije do tri godine, čak i u odsustvu specifičnih promjena. EDPB tretira DPIA-e kao alate odgovornosti koji moraju odražavati trenutnu stvarnost, a ne historijske snimke [3].
DPIA provjera odluka
Često postavljana pitanja
Da li DPIA treba biti završena prije početka obrade? Da. GDPR član 35 zahtijeva da se DPIA provede prije aktivnosti obrade, a ne nakon što je započela. Pokretanje obrade visokog rizika bez završene DPIA samo po sebi je kršenje [3].
Ko je odgovoran za provođenje DPIA? Kontrolor podataka je zakonski odgovoran. Tamo gdje je imenovan službenik za zaštitu podataka, on se mora konsultovati tokom procesa. Obrađivači mogu pomoći, ali odgovornost leži na kontroloru [3].
Da li DPIA treba biti javna? Ne. Ne postoji zakonska obaveza objavljivanja DPIA. Međutim, organizacije je moraju učiniti dostupnom svom nadzornom tijelu na zahtjev, a opći zaključci se mogu podijeliti sa subjektima podataka kao dio obaveza transparentnosti.
Šta je prethodna konsultacija i kada se primjenjuje? Ako DPIA zaključi da preostali rizici ostaju visoki nakon primjene svih mjera ublažavanja, kontrolor se mora konsultovati sa svojim nadzornim tijelom prije nastavka. Tijelo tada ima do osam sedmica da odgovori [3].
Može li jedna DPIA pokriti više sličnih aktivnosti obrade? Da. EDPB potvrđuje da jedna DPIA može obuhvatiti skup sličnih operacija obrade koje predstavljaju uporedive visoke rizike. Ovo je uobičajeno za organizacije koje vode više kampanja ili proizvoda sa istom osnovnom arhitekturom podataka [4].
Da li se GDPR primjenjuje ako je moja kompanija izvan EU? GDPR se primjenjuje na svaku organizaciju koja obrađuje lične podatke stanovnika EU, bez obzira na to gdje je organizacija smještena. Kompanije izvan EU koje ciljaju korisnike u EU moraju se pridržavati DPIA obaveza baš kao i kompanije sa sjedištem u EU.
Da li je DPIA potrebna za postojeće aktivnosti obrade? DPIA je prvenstveno potrebna za novu obradu. Međutim, ako se postojeća aktivnost materijalno promijeni ili ako nikada nije procijenjena i nosi visok rizik, retrospektivna DPIA je snažno preporučljiva i može biti zahtijevana od strane nadzornog tijela [3].
Koju ulogu platforma za upravljanje saglasnošću igra u usklađenosti sa DPIA? Platforma za upravljanje saglasnošću kao što je Biscotti CMP pomaže organizacijama da prikupljaju, bilježe i upravljaju saglasnošću korisnika na način koji podržava zahtjeve odgovornosti koji su u osnovi usklađenosti sa DPIA, posebno za praćenje zasnovano na kolačićima i aktivnosti profilisanja ponašanja.
Zaključak
Razumijevanje kada vam je potrebna DPIA i provođenje vodiča za procjene podataka visokog rizika sa istinskom strogošću, jedan je od najjasnijih pokazatelja zrelog programa zaštite podataka. Obaveza nije birokratsko štikliranje: to je strukturirana metoda za identifikaciju štete prije nego što dođe do subjekata podataka.
Sljedeći koraci za 2026. godinu:
- Mapirajte sve aktivnosti obrade i provjerite svaku prema devet kriterija rizika EDPB-a [4]
- Preuzmite i koristite standardizirani DPIA predložak EDPB-a, usvojen u aprilu 2026. [1]
- Provjerite objavljenu listu obaveznih DPIA aktivnosti vašeg nacionalnog nadzornog tijela
- Za svaku implementaciju AI ili mašinskog učenja, integrirajte svoju DPIA sa FRIA procesom EU AI Act-a [2]
- Postavite podsjetnike u kalendaru za pregled postojećih DPIA-a najmanje svake dvije godine ili nakon bilo kakve materijalne promjene
- Ako preostali rizici ostanu visoki nakon ublažavanja, konsultujte se sa svojim nadzornim tijelom prije nastavka [3]
- Osigurajte da vaša infrastruktura za upravljanje saglasnošću, uključujući alate kao što je Biscotti CMP, podržava evidenciju odgovornosti na kojoj se zasniva vaš DPIA program
Organizacije koje DPIA tretiraju kao žive alate odgovornosti, a ne kao jednokratne zadatke usklađenosti, bit će bolje pozicionirane da se prilagode kako se regulatorna očekivanja nastavljaju razvijati.
Reference
[1] Enhancing Compliance And Consistency Edpb Adopts Dpia Template Et - https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_et?utm_source=openai
[2] Integrating Dpia And Fria Under The Eu Ai Act - https://digital.nemko.com/insights/integrating-dpia-and-fria-under-the-eu-ai-act?utm_source=openai
[3] When Data Protection Impact Assessment Dpia Required En - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en?utm_source=openai
[4] Data Protection Impact Assessment En - https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en?utm_source=openai
[5] Guide Data Protection Impact Assessments - https://www.dataprotection.ie/en/dpc-guidance/guide-data-protection-impact-assessments?utm_source=openai
[6] Data Protection Impact Assessments - https://cy.ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-impact-assessments/?utm_source=openai