Краткий ответ: Оценка воздействия на защиту данных (DPIA) является юридически обязательной в соответствии со статьей 35 GDPR, когда любая деятельность по обработке данных, вероятно, приведет к высокому риску для прав и свобод физических лиц. Это относится к таким видам деятельности, как массовое профилирование, систематический мониторинг общественных пространств и обработка специальных категорий данных. Невыполнение этой обязанности может подвергнуть вашу организацию значительным штрафам и репутационным рискам.
Основные выводы
- DPIA обязательна в соответствии со статьей 35 GDPR для видов обработки, которые «вероятно приведут к высокому риску» для прав и свобод физических лиц [3]
- Три типа обработки всегда требуют DPIA: систематическая оценка физических лиц, массовая обработка чувствительных данных и систематический мониторинг общедоступных территорий [3]
- Национальные органы по защите данных публикуют списки операций по обработке, требующих DPIA, предоставляя рекомендации, специфичные для юрисдикции [3]
- Пропуск обязательной DPIA может привести к штрафам до 10 миллионов евро или 2% от глобального годового оборота в соответствии с GDPR
- EDPB приняла стандартизированный шаблон DPIA в апреле 2026 года для улучшения согласованности между государствами-членами ЕС [1]
- Системы ИИ и модели машинного обучения, принимающие автоматизированные решения с значительными последствиями для физических лиц, почти всегда требуют DPIA [2]
- Малые предприятия не освобождаются автоматически; триггером является характер обработки, а не размер организации [5]
- DPIA — это живой документ, который должен пересматриваться и обновляться всякий раз, когда материально изменяются виды обработки [3]
- Если остаточные риски остаются высокими после смягчения, организациям необходимо проконсультироваться с их надзорным органом перед продолжением [3]
- DPIA отличается от Оценки воздействия на конфиденциальность (PIA) в первую очередь своей юридической основой и обязательствами по консультациям
Что такое DPIA и зачем она нужна?
Оценка воздействия на защиту данных — это структурированный процесс, который помогает организациям выявлять, оценивать и смягчать риски для физических лиц, возникающие в результате деятельности по обработке данных. В соответствии с GDPR это не является необязательным руководством, это юридическая обязанность для высокорисковой обработки [3].
Основная цель DPIA — подотчетность. Она заставляет организации систематически думать о том, какие данные они собирают, зачем они их собирают, кто имеет доступ и что может пойти не так. Ирландская комиссия по защите данных описывает это как инструмент, который демонстрирует, что организация учла риски конфиденциальности до начала обработки, а не после того, как произошло нарушение [5].
DPIA обычно охватывает:
- Описание обработки и ее целей
- Оценка необходимости и пропорциональности
- Оценка рисков для субъектов данных
- Меры, запланированные для устранения этих рисков
EDPB приняла стандартизированный шаблон DPIA в апреле 2026 года, чтобы помочь организациям структурировать этот процесс последовательно по всему ЕС [1].
Когда требуется DPIA в соответствии с GDPR?
Статья 35 GDPR требует проведения DPIA перед любой обработкой, которая «вероятно приведет к высокому риску» для прав и свобод физических лиц [3]. Три конкретные сценария всегда вызывают это обязательство:
- Систематическое и обширное профилирование с значительными последствиями, включая автоматизированное принятие решений
- Массовая обработка специальных категорий данных (здоровье, биометрические данные, расовое происхождение и т. д.) или персональных данных, относящихся к уголовным наказаниям
- Систематический мониторинг общедоступных территорий в большом масштабе
Помимо этих трех, национальные надзорные органы публикуют списки операций по обработке, требующих DPIA в их юрисдикции. Организации, работающие в нескольких государствах-членах ЕС, должны проверять каждый соответствующий национальный список.
Правило принятия решения: Если ваша обработка соответствует двум или более из девяти критериев риска EDPB (новая технология, большой масштаб, чувствительные данные, систематический мониторинг, сопоставление или объединение наборов данных, уязвимые субъекты данных, инновационное использование, риск отказа в обслуживании или автоматизированное принятие решений), DPIA почти наверняка требуется [4].
Что считается высокорисковой обработкой данных?
Высокорисковая обработка определяется характером, объемом, контекстом и целью деятельности, а не просто объемом обрабатываемых данных. EDPB предоставляет рекомендации, определяющие конкретные характеристики, которые повышают статус обработки до высокорискового [4].
Ключевые индикаторы включают:
| Индикатор риска | Пример |
|---|---|
| Автоматизированное принятие решений | Оценка кредитоспособности, модели страхового риска |
| Чувствительные категории данных | Медицинские записи, биометрическая аутентификация |
| Массовая обработка | Базы данных национальных программ лояльности |
| Мониторинг общественных территорий | Видеонаблюдение с распознаванием лиц |
| Сопоставление или объединение данных | Перекрестная проверка социальных медиа с историей покупок |
| Уязвимые субъекты данных | Дети, пациенты, сотрудники |
| Новая или непроверенная технология | Генеративный ИИ, инструменты обнаружения эмоций |
Один индикатор не автоматически требует проведения DPIA, но два или более в комбинации почти всегда требуют. Обработка, которая включает как чувствительные данные, так и автоматизированное принятие решений, например, безусловно превышает порог.
Как узнать, нужна ли моей компании DPIA?
Ответ зависит от того, что ваша организация фактически делает с персональными данными, а не от вашей отрасли или размера компании. Любой контролер, будь то стартап, больница или маркетинговое агентство, должен провести DPIA, если их обработка соответствует высокорисковому порогу [5].
Практический процесс скрининга:
- Составьте карту всех текущих операций по обработке данных
- Примените девять критериев риска EDPB к каждой операции
- Проверьте опубликованный список «обязательных» действий вашего национального надзорного органа
- Для любой операции, набравшей два или более критерия, инициируйте DPIA
- Документируйте решение о скрининге, даже если DPIA не требуется
Распространенная ошибка: Организации предполагают, что, поскольку они маленькие, они освобождены. Размер не имеет значения. Стартап из двух человек, использующий инструмент найма на основе ИИ, который принимает автоматизированные решения о кандидатах на работу, должен провести DPIA.
Что произойдет, если вы не проведете DPIA, когда это требуется?
Невыполнение обязательной DPIA само по себе является нарушением GDPR, независимо от того, произошло ли какое-либо фактическое вредоносное воздействие на субъектов данных. Надзорные органы могут наложить штрафы до 10 миллионов евро или 2% от глобального годового оборота за это конкретное нарушение [3].
Помимо финансовых штрафов, последствия включают:
- Обязательная приостановка деятельности по обработке
- Репутационный ущерб от публичных решений о принудительном исполнении
- Увеличение контроля и обязательств по аудиту со стороны надзорного органа
- Личная ответственность для Офицеров по защите данных, которые не смогли правильно проконсультировать
Если остаточные риски остаются высокими после применения мер по смягчению, организациям необходимо проконсультироваться с их надзорным органом перед началом обработки. Продолжение без этой консультации является дополнительным нарушением [3].
DPIA против Оценки воздействия на конфиденциальность: в чем разница?
Оценка воздействия на конфиденциальность (PIA) является более широкой, добровольной рамкой лучших практик, которая предшествует GDPR. DPIA является ее юридически обязательным преемником в соответствии с законодательством ЕС о защите данных. Эти два термина иногда используются взаимозаменяемо, но они несут разные обязательства.
| Особенность | PIA | DPIA |
|---|---|---|
| Юридическая основа | Лучшие практики | Статья 35 GDPR |
| Обязательность | Нет | Да, при высоком риске |
| Консультация с надзорным органом | Не требуется | Требуется, если остаточный риск высок |
| Стандартизированный шаблон | Разный | Шаблон EDPB (2026) [1] |
| Обязанность документирования | Рекомендуется | Юридически обязательна |
Организации, которые проводили PIA до вступления в силу GDPR, должны пересмотреть, соответствуют ли эти оценки более строгому стандарту DPIA.
Требования к DPIA для ИИ и машинного обучения
Системы ИИ, которые принимают или значительно влияют на решения о физических лицах, почти всегда требуют DPIA. Автоматизированное принятие решений с юридическими или аналогичными значительными последствиями является одним из трех основных триггеров в соответствии со статьей 35 GDPR [4].
Законодательство ЕС о ИИ, которое вступило в полную силу 2 августа 2026 года, вводит дополнительный уровень: Оценка воздействия на основные права (FRIA) для высокорисковых систем ИИ. Организациям настоятельно рекомендуется интегрировать свои процессы DPIA и FRIA, чтобы избежать дублирования усилий и обеспечить комплексное покрытие как рисков защиты данных, так и рисков основных прав [2].
Конкретные случаи использования ИИ, которые требуют DPIA, включают:
- Алгоритмы рекрутинга, которые фильтруют или ранжируют кандидатов
- Модели оценки кредитоспособности и страхования
- Системы предсказательной полиции или обнаружения мошенничества
- Инструменты диагностики здоровья или рекомендации по лечению
- Платформы поведенческой рекламы, использующие выведенные профили
Крайний случай: Даже системы ИИ, которые не принимают окончательных решений, но значительно влияют на человеческих принимающих решения, могут вызвать необходимость в DPIA, если основная обработка данных является массовой или включает чувствительные категории.
Нужны ли малым предприятиям DPIA?
Малые и средние предприятия не освобождены от обязательств по DPIA. Юридическим триггером является характер и уровень риска деятельности по обработке, а не размер или доход организации [5].
Тем не менее, многие малые предприятия занимаются низкорисковой обработкой, управляя, например, списком электронных адресов клиентов, что не требует DPIA. Обязанность возникает только тогда, когда сама обработка пересекает порог высоких рисков.
Выберите DPIA, если ваше малое предприятие:
- Использует автоматизированное профилирование для персонализации контента или цен
- Обрабатывает данные о здоровье, финансовые или биометрические данные
- Работает на платформе, где дети, вероятно, являются пользователями
- Использует технологии отслеживания, которые создают поведенческие профили в большом масштабе
Платформа управления согласиями, такая как Biscotti CMP, может помочь малым предприятиям управлять записями согласия и продемонстрировать подотчетность, что поддерживает более широкую структуру соблюдения, в рамках которой находится DPIA.
Что должно быть включено в отчет DPIA?
Полный отчет DPIA должен содержать несколько обязательных элементов в соответствии со статьей 35(7) GDPR [3]:
- Систематическое описание операций по обработке и их целей, включая законный интерес, если это применимо
- Оценка необходимости и пропорциональности относительно заявленной цели
- Оценка рисков для прав и свобод субъектов данных
- Предусмотренные меры для устранения рисков, включая средства защиты, меры безопасности и механизмы обеспечения защиты данных
Стандартизированный шаблон EDPB 2026 года структурирует эти элементы в последовательный формат, который признают надзорные органы по всему ЕС [1]. Использование его снижает риск того, что DPIA будет признана неполной во время аудита.
Дополнительные элементы лучших практик включают записи консультаций с Офицером по защите данных, мнения заинтересованных сторон от субъектов данных или их представителей, где это возможно, и подпись о остаточном риске.
Сколько стоит DPIA и можно ли сделать это самостоятельно?
Стоимость DPIA варьируется в зависимости от сложности. Простая внутренняя оценка для хорошо документированной операции по обработке может быть завершена внутри компании за несколько дней. Сложные оценки, включающие системы ИИ, трансграничные потоки данных или нескольких контролеров данных, могут занять недели и потребовать внешней юридической или технической экспертизы.
Приблизительные диапазоны стоимости (оценки на основе рыночных норм):
- Внутренняя DPIA для низкосложной обработки: минимальная стоимость, в основном время сотрудников (8-20 часов)
- DPIA, проводимая консультантом для умеренной сложности: обычно 2,000-8,000 евро
- Полный юридический и технический обзор для высокосложных систем ИИ: 10,000 евро или более
Организации с назначенным DPO должны привлекать его с самого начала. Роль DPO включает в себя консультирование о том, требуется ли DPIA, и обзор завершенной оценки [3]. Для организаций без внутренней экспертизы рекомендуется привлечь специализированного консультанта для любой обработки, которая включает новую технологию или чувствительные категории данных.
Как часто следует обновлять или повторно проводить DPIA?
DPIA не является разовым мероприятием. Это живой документ, который должен пересматриваться всякий раз, когда происходит материальное изменение в деятельности по обработке, которую он охватывает [3].
Триггеры для пересмотра или полной переоценки включают:
- Введение новой технологии или нового поставщика в цепочке обработки
- Расширение объема или объема собираемых данных
- Изменение цели обработки
- Утечка данных или инцидент, который выявляет ранее не обнаруженные риски
- Новые рекомендации от надзорного органа, которые влияют на оценку рисков
- Значительные изменения в правовой или регуляторной среде
В качестве базового уровня организации должны запланировать периодический пересмотр всех DPIA как минимум раз в два-три года, даже при отсутствии конкретных изменений. EDPB рассматривает DPIA как инструменты подотчетности, которые должны отражать текущую реальность, а не исторические снимки [3].
Проверка решения по DPIA
Часто задаваемые вопросы
Нужна ли DPIA до начала обработки? Да. Статья 35 GDPR требует проведения DPIA до начала деятельности по обработке, а не после ее начала. Начало высокорисковой обработки без завершенной DPIA само по себе является нарушением [3].
Кто отвечает за проведение DPIA? Ответственность за это несет контролер данных. Если назначен Офицер по защите данных, он должен быть проконсультирован в процессе. Обработчики могут помочь, но подотчетность лежит на контролере [3].
Должна ли DPIA быть опубликована? Нет. Нет юридического требования публиковать DPIA. Однако организации должны предоставить ее своему надзорному органу по запросу, а общие выводы могут быть поделены с субъектами данных в рамках обязательств по прозрачности.
Что такое предварительная консультация и когда она применяется? Если DPIA приходит к выводу, что остаточные риски остаются высокими после применения всех мер по смягчению, контролер должен проконсультироваться с их надзорным органом перед продолжением. Власть затем имеет до восьми недель на ответ [3].
Может ли одна DPIA охватывать несколько схожих операций по обработке? Да. EDPB подтверждает, что одна DPIA может охватывать набор схожих операций по обработке, которые представляют сопоставимые высокие риски. Это распространено для организаций, проводящих несколько кампаний или продуктов с одинаковой базовой архитектурой данных [4].
Применяется ли GDPR, если моя компания находится за пределами ЕС? GDPR применяется к любой организации, которая обрабатывает персональные данные резидентов ЕС, независимо от того, где находится организация. Компании, находящиеся за пределами ЕС и нацеленные на пользователей ЕС, должны соблюдать обязательства по DPIA так же, как и компании, базирующиеся в ЕС.
Требуется ли DPIA для существующих операций по обработке? DPIA в первую очередь требуется для новой обработки. Однако, если существующая деятельность изменяется существенно или если она никогда не оценивалась и несет высокий риск, ретроспективная DPIA настоятельно рекомендуется и может быть обязательной по требованию надзорного органа [3].
Какую роль играет платформа управления согласиями в соблюдении требований DPIA? Платформа управления согласиями, такая как Biscotti CMP, помогает организациям собирать, записывать и управлять согласием пользователей таким образом, который поддерживает требования подотчетности, лежащие в основе соблюдения DPIA, особенно для отслеживания на основе файлов cookie и деятельности по созданию поведенческих профилей.
Заключение
Понимание того, когда вам нужна DPIA, и проведение руководства по оценке высокорисковых данных с подлинной строгостью является одним из самых четких показателей зрелой программы защиты данных. Обязанность не является бюрократическим выполнением формальностей: это структурированный метод выявления вреда до того, как он достигнет субъектов данных.
Практические шаги на 2026 год:
- Составьте карту всех операций по обработке и проверьте каждую по девяти критериям риска EDPB [4]
- Скачайте и используйте стандартизированный шаблон DPIA EDPB, принятый в апреле 2026 года [1]
- Проверьте опубликованный список обязательных действий вашего национального надзорного органа по DPIA
- Для любого развертывания ИИ или машинного обучения интегрируйте свою DPIA с процессом FRIA Закона ЕС о ИИ [2]
- Установите напоминания в календаре для пересмотра существующих DPIA как минимум раз в два года или после любого существенного изменения
- Если остаточные риски остаются высокими после смягчения, проконсультируйтесь с вашим надзорным органом перед продолжением [3]
- Убедитесь, что ваша инфраструктура управления согласиями, включая инструменты, такие как Biscotti CMP, поддерживает учетные записи подотчетности, от которых зависит ваша программа DPIA
Организации, которые рассматривают DPIA как живые инструменты подотчетности, а не разовые задачи по соблюдению, будут лучше подготовлены к адаптации по мере того, как ожидания регуляторов продолжают развиваться.
Ссылки
[1] Enhancing Compliance And Consistency Edpb Adopts Dpia Template Et - https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_et?utm_source=openai
[2] Integrating Dpia And Fria Under The Eu Ai Act - https://digital.nemko.com/insights/integrating-dpia-and-fria-under-the-eu-ai-act?utm_source=openai
[3] When Data Protection Impact Assessment Dpia Required En - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en?utm_source=openai
[4] Data Protection Impact Assessment En - https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en?utm_source=openai
[5] Guide Data Protection Impact Assessments - https://www.dataprotection.ie/en/dpc-guidance/guide-data-protection-impact-assessments?utm_source=openai
[6] Data Protection Impact Assessments - https://cy.ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-impact-assessments/?utm_source=openai