Kratak odgovor: Procjena učinka na zaštitu podataka (DPIA) zakonski je obvezna prema članku 35. GDPR-a kad god aktivnost obrade vjerojatno rezultira visokim rizikom za prava i slobode pojedinaca. To se odnosi na aktivnosti kao što su opsežno profiliranje, sustavno praćenje javnih prostora i obrada posebnih kategorija podataka. Neprovođenje DPIA-e kada je to potrebno može izložiti vašu organizaciju značajnim regulatornim kaznama i narušavanju ugleda.
Ključne spoznaje
- DPIA je obvezna prema članku 35. GDPR-a za aktivnosti obrade koje "vjerojatno rezultiraju visokim rizikom" za prava i slobode pojedinaca [3]
- Tri vrste obrade uvijek zahtijevaju DPIA: sustavna procjena pojedinaca, opsežna obrada osjetljivih podataka i sustavno praćenje javno dostupnih područja [3]
- Nacionalna tijela za zaštitu podataka objavljuju popise operacija obrade koje zahtijevaju DPIA, pružajući smjernice specifične za nadležnost [3]
- Preskakanje obvezne DPIA-e može rezultirati kaznama do 10 milijuna eura ili 2% globalnog godišnjeg prometa prema GDPR-u
- EDPB je u travnju 2026. usvojio standardizirani predložak DPIA-e kako bi poboljšao dosljednost u državama članicama EU-a [1]
- AI sustavi i modeli strojnog učenja koji donose automatizirane odluke sa značajnim učincima na pojedince gotovo uvijek zahtijevaju DPIA [2]
- Mala poduzeća nisu automatski izuzeta; okidač je priroda obrade, a ne veličina organizacije [5]
- DPIA je živi dokument koji se mora pregledavati i ažurirati kad god se aktivnosti obrade materijalno promijene [3]
- Ako preostali rizici ostanu visoki nakon ublažavanja, organizacije se moraju savjetovati sa svojim nadzornim tijelom prije nastavka [3]
- DPIA se razlikuje od procjene učinka na privatnost (PIA) prvenstveno po svojoj pravnoj osnovi i obveznim savjetodavnim obvezama
Što je DPIA i zašto vam je potrebna?
Procjena učinka na zaštitu podataka strukturirani je proces koji pomaže organizacijama identificirati, procijeniti i ublažiti rizike za pojedince koji proizlaze iz aktivnosti obrade podataka. Prema GDPR-u, to nije neobvezna smjernica, već zakonska obveza za visokorizičnu obradu [3].
Osnovna svrha DPIA-e je odgovornost. Ona prisiljava organizacije da sustavno razmišljaju o tome koje podatke prikupljaju, zašto ih prikupljaju, tko ima pristup i što bi moglo poći po zlu. Irska komisija za zaštitu podataka opisuje je kao alat koji pokazuje da je organizacija razmotrila rizike privatnosti prije početka obrade, a ne nakon što se dogodi povreda [5].
DPIA obično pokriva:
- Opis obrade i njezinih svrha
- Procjenu nužnosti i proporcionalnosti
- Procjenu rizika za ispitanike
- Planirane mjere za rješavanje tih rizika
EDPB je u travnju 2026. usvojio standardizirani predložak DPIA-e kako bi pomogao organizacijama da dosljedno strukturiraju ovaj proces diljem EU-a [1].
Kada je DPIA obvezna prema GDPR-u?
Članak 35. GDPR-a zahtijeva DPIA prije svake obrade koja "vjerojatno rezultira visokim rizikom" za prava i slobode fizičkih osoba [3]. Tri specifična scenarija uvijek pokreću ovu obvezu:
- Sustavno i opsežno profiliranje sa značajnim učincima, uključujući automatizirano donošenje odluka
- Opsežna obrada posebnih kategorija podataka (zdravstveni, biometrijski, rasno podrijetlo itd.) ili osobnih podataka koji se odnose na kaznene presude
- Sustavno praćenje javno dostupnih područja u velikom opsegu
Osim ova tri, nacionalna nadzorna tijela objavljuju popise operacija obrade koje zahtijevaju DPIA u njihovoj nadležnosti. Organizacije koje posluju u više država članica EU-a trebale bi provjeriti svaki relevantni nacionalni popis.
Pravilo odlučivanja: Ako vaša obrada ispunjava dva ili više od devet kriterija rizika EDPB-a (nova tehnologija, veliki opseg, osjetljivi podaci, sustavno praćenje, podudaranje ili kombiniranje skupova podataka, ranjivi ispitanici, inovativna upotreba, rizik uskraćivanja usluge ili automatizirano donošenje odluka), DPIA je gotovo sigurno obvezna [4].
Što se smatra visokorizičnom obradom podataka?
Visokorizična obrada definirana je prirodom, opsegom, kontekstom i svrhom aktivnosti, a ne samo količinom uključenih podataka. EDPB pruža smjernice koje identificiraju specifične karakteristike koje obradu podižu na status visokog rizika [4].
Ključni pokazatelji uključuju:
| Pokazatelj rizika | Primjer |
|---|---|
| Automatizirano donošenje odluka | Bodovanje kredita, modeli rizika osiguranja |
| Osjetljive kategorije podataka | Zdravstveni kartoni, biometrijska autentifikacija |
| Opsežna obrada | Nacionalne baze podataka programa vjernosti |
| Nadzor javnih površina | CCTV s prepoznavanjem lica |
| Usklađivanje ili kombiniranje podataka | Uspoređivanje društvenih medija s poviješću kupnje |
| Ranjivi ispitanici | Djeca, pacijenti, zaposlenici |
| Nova ili neprovjerena tehnologija | Generativna AI, alati za detekciju emocija |
Jedan pokazatelj ne nalaže automatski DPIA, ali dva ili više u kombinaciji gotovo uvijek to čine. Obrada koja uključuje i osjetljive podatke i automatizirano donošenje odluka, na primjer, bez sumnje prelazi prag.
Kako znati treba li mom poslovanju DPIA?
Odgovor ovisi o tome što vaša organizacija zapravo radi s osobnim podacima, a ne o vašoj industriji ili veličini tvrtke. Svaki voditelj obrade, bilo da se radi o startupu, bolnici ili marketinškoj agenciji, mora provesti DPIA ako njihova obrada ispunjava prag visokog rizika [5].
Praktičan postupak provjere:
- Mapirajte sve trenutne aktivnosti obrade podataka
- Primijenite devet kriterija rizika EDPB-a na svaku aktivnost
- Provjerite "obvezni" popis koji je objavilo vaše nacionalno nadzorno tijelo
- Za svaku aktivnost koja ispunjava dva ili više kriterija, pokrenite DPIA
- Dokumentirajte odluku o provjeri čak i kada DPIA nije obvezna
Česta pogreška: Organizacije pretpostavljaju da su, budući da su male, izuzete. Veličina je nebitna. Startup od dvije osobe koji koristi alat za zapošljavanje temeljen na AI-u koji donosi automatizirane odluke o kandidatima za posao mora provesti DPIA.
Što se događa ako ne provedete DPIA kada je to potrebno?
Neprovođenje obvezne DPIA-e samo po sebi je kršenje GDPR-a, neovisno o tome je li došlo do stvarne štete za ispitanike. Nadzorna tijela mogu izreći kazne do 10 milijuna eura ili 2% globalnog godišnjeg prometa za ovo specifično kršenje [3].
Osim financijskih kazni, posljedice uključuju:
- Obveznu obustavu aktivnosti obrade
- Narušavanje ugleda zbog javnih odluka o provedbi
- Povećani nadzor i obveze revizije od strane nadzornog tijela
- Osobnu odgovornost službenika za zaštitu podataka koji nisu ispravno savjetovali
Ako preostali rizici ostanu visoki nakon primjene mjera ublažavanja, organizacije se moraju savjetovati sa svojim nadzornim tijelom prije početka obrade. Nastavak bez tog savjetovanja dodatno je kršenje [3].
DPIA vs. Procjena učinka na privatnost: Koja je razlika?
Procjena učinka na privatnost (PIA) je širi, dobrovoljni okvir najbolje prakse koji prethodi GDPR-u. DPIA je njezin zakonski propisani nasljednik prema zakonu EU-a o zaštiti podataka. Ova dva pojma ponekad se koriste naizmjenično, ali nose različite obveze.
| Značajka | PIA | DPIA |
|---|---|---|
| Pravna osnova | Najbolja praksa | GDPR članak 35. |
| Obvezno | Ne | Da, kada je visok rizik |
| Savjetovanje s nadzornim tijelom | Nije obvezno | Obvezno ako je preostali rizik visok |
| Standardizirani predložak | Različit | Predložak EDPB-a (2026.) [1] |
| Obveza dokumentiranja | Preporučeno | Zakonski obvezno |
Organizacije koje su provele PIA-e prije stupanja na snagu GDPR-a trebale bi provjeriti ispunjavaju li te procjene stroži standard DPIA-e.
DPIA zahtjevi za AI i strojno učenje
AI sustavi koji donose ili značajno utječu na odluke o pojedincima gotovo uvijek zahtijevaju DPIA. Automatizirano donošenje odluka s pravnim ili slično značajnim učincima jedan je od tri temeljna okidača prema članku 35. GDPR-a [4].
Zakon o umjetnoj inteligenciji EU-a, koji je u potpunosti stupio na snagu 2. kolovoza 2026., uvodi dodatni sloj: Procjenu učinka na temeljna prava (FRIA) za visokorizične AI sustave. Organizacije se snažno potiču da integriraju svoje DPIA i FRIA procese kako bi izbjegle dupliciranje napora i osigurale sveobuhvatno pokrivanje rizika zaštite podataka i temeljnih prava [2].
Specifični slučajevi upotrebe AI-a koji zahtijevaju DPIA uključuju:
- Algoritmi za zapošljavanje koji filtriraju ili rangiraju kandidate
- Modeli bodovanja kredita i osiguranja
- Prediktivni policijski sustavi ili sustavi za otkrivanje prijevara
- Alati za dijagnostiku zdravlja ili preporuke za liječenje
- Platforme za bihevioralno oglašavanje koje koriste inferirane profile
Granični slučaj: Čak i AI sustavi koji ne donose konačne odluke, ali značajno utječu na ljudske donositelje odluka, mogu pokrenuti zahtjev za DPIA ako je temeljna obrada podataka velikog opsega ili uključuje osjetljive kategorije.
Trebaju li mala poduzeća provoditi DPIA-e?
Mala i srednja poduzeća nisu izuzeta od obveza DPIA-e. Pravni okidač je priroda i razina rizika aktivnosti obrade, a ne veličina ili prihod organizacije [5].
Međutim, mnoga mala poduzeća bave se niskorizičnom obradom, na primjer, upravljanjem popisom e-pošte kupaca, što ne zahtijeva DPIA. Obveza nastaje samo kada sama obrada prijeđe prag visokog rizika.
Odaberite DPIA ako vaše malo poduzeće:
- Koristi automatizirano profiliranje za personalizaciju sadržaja ili cijena
- Obrađuje zdravstvene, financijske ili biometrijske podatke
- Upravlja platformom na kojoj su djeca vjerojatni korisnici
- Primjenjuje tehnologije praćenja koje grade bihevioralne profile u velikom opsegu
Platforma za upravljanje pristankom kao što je Biscotti CMP može pomoći malim poduzećima u upravljanju evidencijama pristanka i demonstriranju odgovornosti, što podržava širi okvir usklađenosti unutar kojeg se nalazi DPIA.
Što bi trebalo biti uključeno u DPIA izvješće?
Potpuno DPIA izvješće mora sadržavati nekoliko obveznih elemenata prema članku 35. stavku 7. GDPR-a [3]:
- Sustavan opis operacija obrade i njihovih svrha, uključujući legitimni interes koji se ostvaruje, ako je primjenjivo
- Procjena nužnosti i proporcionalnosti u odnosu na navedenu svrhu
- Procjena rizika za prava i slobode ispitanika
- Predviđene mjere za rješavanje rizika, uključujući zaštitne mjere, sigurnosne mjere i mehanizme za osiguravanje zaštite podataka
Standardizirani predložak EDPB-a iz 2026. strukturira ove elemente u dosljedan format koji prepoznaju nadzorna tijela diljem EU-a [1]. Korištenje smanjuje rizik da se DPIA smatra nepotpunom tijekom revizije.
Dodatni elementi najbolje prakse uključuju evidenciju savjetovanja sa službenikom za zaštitu podataka, doprinos dionika od ispitanika ili njihovih predstavnika gdje je to izvedivo i odobrenje preostalog rizika.
Koliko košta DPIA i možete li je sami provesti?
Trošak DPIA-e uvelike varira ovisno o složenosti. Jednostavna interna procjena za dobro dokumentiranu aktivnost obrade može se dovršiti interno u nekoliko dana. Složene procjene koje uključuju AI sustave, prekogranične tokove podataka ili više voditelja obrade mogu trajati tjednima i mogu zahtijevati vanjsku pravnu ili tehničku stručnost.
Okvirni rasponi troškova (procjene temeljene na tržišnim normama):
- Interna DPIA za obradu niske složenosti: minimalni trošak, prvenstveno vrijeme osoblja (8-20 sati)
- DPIA koju vodi konzultant za umjerenu složenost: obično 2.000-8.000 eura
- Potpuni pravni i tehnički pregled za AI sustave visoke složenosti: 10.000 eura ili više
Organizacije s imenovanim DPO-om trebale bi ih uključiti od samog početka. Uloga DPO-a uključuje savjetovanje o tome je li DPIA potrebna i pregled dovršene procjene [3]. Za organizacije bez interne stručnosti, angažiranje specijaliziranog konzultanta preporučljivo je za svaku obradu koja uključuje novu tehnologiju ili osjetljive kategorije podataka.
Koliko često trebate ažurirati ili ponovno raditi DPIA?
DPIA nije jednokratna vježba. To je živi dokument koji se mora pregledavati kad god dođe do materijalne promjene u aktivnosti obrade koju pokriva [3].
Okidači za pregled ili potpunu ponovnu procjenu uključuju:
- Uvođenje nove tehnologije ili novog dobavljača u lancu obrade
- Proširenje opsega ili količine prikupljenih podataka
- Promjena svrhe obrade
- Povreda podataka ili skoro propuštanje koje otkriva prethodno neidentificirane rizike
- Nove smjernice nadzornog tijela koje utječu na procjenu rizika
- Značajne promjene u pravnom ili regulatornom okruženju
Kao osnovu, organizacije bi trebale zakazati periodični pregled svih DPIA-a barem svake dvije do tri godine, čak i u nedostatku specifičnih promjena. EDPB tretira DPIA-e kao alate odgovornosti koji moraju odražavati trenutnu stvarnost, a ne povijesne snimke [3].
Provjera odluke o DPIA
Često postavljana pitanja
Treba li DPIA biti dovršena prije početka obrade? Da. Članak 35. GDPR-a zahtijeva da se DPIA provede prije aktivnosti obrade, a ne nakon što je započela. Pokretanje visokorizične obrade bez dovršene DPIA-e samo po sebi je kršenje [3].
Tko je odgovoran za provođenje DPIA-e? Voditelj obrade je zakonski odgovoran. Tamo gdje je imenovan službenik za zaštitu podataka, on se mora konzultirati tijekom procesa. Izvršitelji obrade mogu pomoći, ali odgovornost je na voditelju obrade [3].
Treba li DPIA biti javna? Ne. Ne postoji zakonska obveza objavljivanja DPIA-e. Međutim, organizacije je moraju učiniti dostupnom svom nadzornom tijelu na zahtjev, a opći zaključci mogu se podijeliti s ispitanicima kao dio obveza transparentnosti.
Što je prethodno savjetovanje i kada se primjenjuje? Ako DPIA zaključi da preostali rizici ostaju visoki nakon primjene svih mjera ublažavanja, voditelj obrade mora se savjetovati sa svojim nadzornim tijelom prije nastavka. Tijelo tada ima do osam tjedana za odgovor [3].
Može li jedna DPIA pokriti više sličnih aktivnosti obrade? Da. EDPB potvrđuje da jedna DPIA može obuhvatiti skup sličnih operacija obrade koje predstavljaju usporedive visoke rizike. To je uobičajeno za organizacije koje provode više kampanja ili proizvoda s istom temeljnom arhitekturom podataka [4].
Primjenjuje li se GDPR ako je moja tvrtka izvan EU-a? GDPR se primjenjuje na svaku organizaciju koja obrađuje osobne podatke stanovnika EU-a, bez obzira na to gdje se organizacija nalazi. Tvrtke izvan EU-a koje ciljaju korisnike iz EU-a moraju se pridržavati obveza DPIA-e baš kao i tvrtke sa sjedištem u EU-u.
Je li DPIA obvezna za postojeće aktivnosti obrade? DPIA je prvenstveno obvezna za novu obradu. Međutim, ako se postojeća aktivnost materijalno promijeni ili ako nikada nije procijenjena i nosi visok rizik, retrospektivna DPIA je snažno preporučljiva i može je zahtijevati nadzorno tijelo [3].
Koju ulogu platforma za upravljanje pristankom ima u usklađenosti s DPIA-om? Platforma za upravljanje pristankom kao što je Biscotti CMP pomaže organizacijama prikupljati, bilježiti i upravljati pristankom korisnika na način koji podržava zahtjeve odgovornosti koji su temelj usklađenosti s DPIA-om, posebno za praćenje temeljeno na kolačićima i aktivnosti bihevioralnog profiliranja.
Zaključak
Razumijevanje kada vam je potrebna DPIA i provođenje vodiča za procjene rizika visokorizičnih podataka s istinskom strogošću jedan je od najjasnijih pokazatelja zrelog programa zaštite podataka. Obveza nije birokratsko ispunjavanje obrazaca: to je strukturirana metoda za identificiranje štete prije nego što ona dosegne ispitanike.
Akcijski koraci za 2026.:
- Mapirajte sve aktivnosti obrade i provjerite svaku prema devet kriterija rizika EDPB-a [4]
- Preuzmite i koristite standardizirani predložak DPIA-e EDPB-a, usvojen u travnju 2026. [1]
- Provjerite popis obveznih DPIA aktivnosti koji je objavilo vaše nacionalno nadzorno tijelo
- Za svaku implementaciju AI-a ili strojnog učenja, integrirajte svoju DPIA s FRIA procesom Zakona o umjetnoj inteligenciji EU-a [2]
- Postavite podsjetnike u kalendaru za pregled postojećih DPIA-a barem svake dvije godine ili nakon bilo kakve materijalne promjene
- Ako preostali rizici ostanu visoki nakon ublažavanja, savjetujte se sa svojim nadzornim tijelom prije nastavka [3]
- Osigurajte da vaša infrastruktura za upravljanje pristankom, uključujući alate poput Biscotti CMP, podržava evidencije odgovornosti o kojima ovisi vaš DPIA program
Organizacije koje DPIA-e tretiraju kao žive alate odgovornosti, a ne jednokratne zadatke usklađenosti, bit će bolje pozicionirane za prilagodbu kako se regulatorna očekivanja nastavljaju razvijati.
Reference
[1] Enhancing Compliance And Consistency Edpb Adopts Dpia Template Et - https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_et?utm_source=openai
[2] Integrating Dpia And Fria Under The Eu Ai Act - https://digital.nemko.com/insights/integrating-dpia-and-fria-under-the-eu-ai-act?utm_source=openai
[3] When Data Protection Impact Assessment Dpia Required En - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en?utm_source=openai
[4] Data Protection Impact Assessment En - https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en?utm_source=openai
[5] Guide Data Protection Impact Assessments - https://www.dataprotection.ie/en/dpc-guidance/guide-data-protection-impact-assessments?utm_source=openai
[6] Data Protection Impact Assessments - https://cy.ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-impact-assessments/?utm_source=openai