Швидка відповідь: Оцінка впливу на захист даних (DPIA) є юридично обов'язковою відповідно до статті 35 GDPR, коли будь-яка діяльність з обробки даних, ймовірно, призведе до високого ризику для прав і свобод осіб. Це стосується таких діяльностей, як масове профілювання, систематичний моніторинг публічних місць та обробка спеціальних категорій даних. Невиконання цього обов'язку може призвести до значних регуляторних штрафів та репутаційних втрат для вашої організації.
Основні висновки
- DPIA є обов'язковим відповідно до статті 35 GDPR для діяльності з обробки, яка "ймовірно призведе до високого ризику" для прав і свобод осіб [3]
- Три типи обробки завжди вимагають проведення DPIA: систематична оцінка осіб, масова обробка чутливих даних та систематичний моніторинг публічно доступних територій [3]
- Національні органи захисту даних публікують списки операцій з обробки, які вимагають проведення DPIA, надаючи специфічні рекомендації для юрисдикцій [3]
- Пропуск обов'язкового DPIA може призвести до штрафів до 10 мільйонів євро або 2% від світового річного обороту відповідно до GDPR
- EDPB прийняв стандартизований шаблон DPIA у квітні 2026 року для покращення узгодженості між державами-членами ЄС [1]
- Системи AI та моделі машинного навчання, які приймають автоматизовані рішення з істотними наслідками для осіб, майже завжди вимагають проведення DPIA [2]
- Малі підприємства не є автоматично звільненими; тригером є природа обробки, а не розмір організації [5]
- DPIA є живим документом, який повинен переглядатися та оновлюватися щоразу, коли матеріально змінюються діяльності з обробки [3]
- Якщо залишкові ризики залишаються високими після пом'якшення, організації повинні проконсультуватися зі своїм наглядовим органом перед продовженням [3]
- DPIA відрізняється від Оцінки впливу на конфіденційність (PIA) переважно за юридичною основою та обов'язковими зобов'язаннями щодо консультацій
Що таке DPIA і чому вам це потрібно?
Оцінка впливу на захист даних — це структурований процес, який допомагає організаціям ідентифікувати, оцінювати та пом'якшувати ризики для осіб, що виникають внаслідок діяльності з обробки даних. Відповідно до GDPR, це не є необов'язковою рекомендацією, це юридичний обов'язок для обробки з високим ризиком [3].
Основною метою DPIA є відповідальність. Це змушує організації систематично думати про те, які дані вони збирають, чому вони їх збирають, хто має доступ і що може піти не так. Ірландська комісія з захисту даних описує це як інструмент, який демонструє, що організація врахувала ризики конфіденційності до початку обробки, а не після того, як сталася порушення [5].
DPIA зазвичай охоплює:
- Опис обробки та її цілей
- Оцінка необхідності та пропорційності
- Оцінка ризиків для суб'єктів даних
- Заходи, заплановані для вирішення цих ризиків
EDPB прийняв стандартизований шаблон DPIA у квітні 2026 року, щоб допомогти організаціям структуровано проводити цей процес в ЄС [1].
Коли потрібен DPIA відповідно до GDPR?
Стаття 35 GDPR вимагає проведення DPIA перед будь-якою обробкою, яка "ймовірно призведе до високого ризику" для прав і свобод фізичних осіб [3]. Три конкретні сценарії завжди викликають це зобов'язання:
- Систематичне та широкомасштабне профілювання з істотними наслідками, включаючи автоматизоване прийняття рішень
- Масова обробка спеціальних категорій даних (здоров'я, біометричні дані, расове походження тощо) або особистих даних, що стосуються кримінальних вироків
- Систематичний моніторинг публічно доступних територій на великій шкалі
Крім цих трьох, національні наглядові органи публікують списки операцій з обробки, які вимагають проведення DPIA у своїй юрисдикції. Організації, що працюють у кількох країнах-членах ЄС, повинні перевірити кожен відповідний національний список.
Правило прийняття рішення: Якщо ваша обробка відповідає двом або більше з дев'яти критеріїв ризику EDPB (нова технологія, великий масштаб, чутливі дані, систематичний моніторинг, зіставлення або об'єднання наборів даних, вразливі суб'єкти даних, інноваційне використання, ризик відмови в обслуговуванні або автоматизоване прийняття рішень), DPIA, ймовірно, є обов'язковим [4].
Що вважається обробкою даних з високим ризиком?
Обробка з високим ризиком визначається природою, обсягом, контекстом і метою діяльності, а не просто обсягом даних. EDPB надає рекомендації, що визначають конкретні характеристики, які підвищують статус обробки до високого ризику [4].
Ключові показники включають:
| Показник ризику | Приклад |
|---|---|
| Автоматизоване прийняття рішень | Кредитні рейтинги, моделі ризику страхування |
| Чутливі категорії даних | Медичні записи, біометрична аутентифікація |
| Масова обробка | Бази даних національних програм лояльності |
| Моніторинг публічних територій | Відеоспостереження з розпізнаванням облич |
| Зіставлення або об'єднання даних | Перехресне посилання соціальних медіа з історією покупок |
| Вразливі суб'єкти даних | Діти, пацієнти, працівники |
| Нова або неперевірена технологія | Генеративний AI, інструменти виявлення емоцій |
Один показник не автоматично зобов'язує до проведення DPIA, але два або більше в комбінації майже завжди зобов'язують. Наприклад, обробка, що включає як чутливі дані, так і автоматизоване прийняття рішень, безумовно, перевищує поріг.
Як дізнатися, чи потрібно вашому бізнесу проводити DPIA?
Відповідь залежить від того, що ваша організація насправді робить з особистими даними, а не від вашої галузі чи розміру компанії. Будь-який контролер, чи то стартап, лікарня, чи маркетингова агенція, повинен провести DPIA, якщо їхня обробка відповідає порогу високого ризику [5].
Практичний процес скринінгу:
- Скласти карту всіх поточних діяльностей з обробки даних
- Застосувати дев'ять критеріїв ризику EDPB до кожної діяльності
- Перевірити опублікований список "обов'язкових" дій вашого національного наглядового органу
- Для будь-якої діяльності, що набирає два або більше критеріїв, ініціювати DPIA
- Документувати рішення скринінгу навіть у разі, якщо DPIA не є обов'язковим
Поширена помилка: Організації вважають, що через свій малий розмір вони звільнені. Розмір не має значення. Двохлюдний стартап, що використовує AI для найму, який приймає автоматизовані рішення щодо кандидатів, повинен провести DPIA.
Що станеться, якщо ви не проведете DPIA, коли це потрібно?
Невиконання обов'язкового DPIA є порушенням GDPR, незалежно від того, чи завдано фактичної шкоди суб'єктам даних. Наглядові органи можуть накладати штрафи до 10 мільйонів євро або 2% від світового річного обороту за це конкретне порушення [3].
Крім фінансових штрафів, наслідки включають:
- Обов'язкове призупинення діяльності з обробки
- Репутаційні втрати через публічні рішення про виконання
- Збільшення контролю та зобов'язань щодо аудиту з боку наглядового органу
- Особиста відповідальність для офіцерів з захисту даних, які не надали правильні поради
Якщо залишкові ризики залишаються високими після застосування заходів пом'якшення, організації повинні проконсультуватися зі своїм наглядовим органом перед початком обробки. Продовження без такої консультації є додатковим порушенням [3].
DPIA проти Оцінки впливу на конфіденційність: у чому різниця?
Оцінка впливу на конфіденційність (PIA) є більш широкою, добровільною рамкою найкращих практик, яка передує GDPR. DPIA є її юридично обов'язковим наступником відповідно до законодавства ЄС про захист даних. Обидва терміни іноді використовуються взаємозамінно, але вони несуть різні зобов'язання.
| Особливість | PIA | DPIA |
|---|---|---|
| Юридична основа | Найкраща практика | Стаття 35 GDPR |
| Обов'язковість | Ні | Так, при високому ризику |
| Консультація з наглядовим органом | Необов'язкова | Обов'язкова, якщо залишковий ризик високий |
| Стандартизований шаблон | Варіюється | Шаблон EDPB (2026) [1] |
| Обов'язок документування | Рекомендується | Юридично обов'язковий |
Організації, які проводили PIA до набуття чинності GDPR, повинні переглянути, чи відповідають ці оцінки більш суворим стандартам DPIA.
Вимоги до DPIA для AI та машинного навчання
Системи AI, які приймають або суттєво впливають на рішення щодо осіб, майже завжди вимагають проведення DPIA. Автоматизоване прийняття рішень з юридичними або подібно значними наслідками є одним з трьох основних тригерів відповідно до статті 35 GDPR [4].
Законодавство ЄС про AI, яке стало повністю чинним 2 серпня 2026 року, вводить додатковий рівень: Оцінка впливу на основні права (FRIA) для систем AI з високим ризиком. Організаціям настійно рекомендується інтегрувати свої процеси DPIA та FRIA, щоб уникнути дублювання зусиль та забезпечити всебічне покриття як ризиків захисту даних, так і основних прав [2].
Конкретні випадки використання AI, які вимагають проведення DPIA, включають:
- Алгоритми набору, які фільтрують або ранжують кандидатів
- Моделі кредитного та страхового рейтингу
- Системи прогнозування злочинності або виявлення шахрайства
- Інструменти для діагностики здоров'я або рекомендацій щодо лікування
- Платформи поведінкового реклами, що використовують виведені профілі
Крайній випадок: Навіть системи AI, які не приймають остаточних рішень, але суттєво впливають на людських приймачів рішень, можуть викликати вимогу проведення DPIA, якщо основна обробка даних є масовою або включає чутливі категорії.
Чи потрібно малим підприємствам проводити DPIA?
Малі та середні підприємства не звільнені від обов'язків щодо DPIA. Юридичним тригером є природа та рівень ризику діяльності з обробки, а не розмір або дохід організації [5].
Проте багато малих підприємств займаються обробкою з низьким ризиком, наприклад, управляючи списком електронних адрес клієнтів, що не вимагає проведення DPIA. Обов'язок виникає лише тоді, коли сама обробка перетинає поріг високого ризику.
Обирайте DPIA, якщо ваше мале підприємство:
- Використовує автоматизоване профілювання для персоналізації контенту або цін
- Обробляє дані про здоров'я, фінансові або біометричні дані
- Працює на платформі, де ймовірно користувачі - діти
- Використовує технології відстеження, які створюють поведінкові профілі в масштабах
Платформа управління згодою, така як Biscotti CMP, може допомогти малим підприємствам управляти записами згоди та демонструвати відповідальність, що підтримує ширшу структуру відповідності, в рамках якої знаходиться DPIA.
Що повинно бути включено в звіт DPIA?
Повний звіт DPIA повинен містити кілька обов'язкових елементів відповідно до статті 35(7) GDPR [3]:
- Систематичний опис операцій з обробки та їх цілей, включаючи законний інтерес, якщо це застосовно
- Оцінка необхідності та пропорційності відносно заявленої мети
- Оцінка ризиків для прав і свобод суб'єктів даних
- Заходи, що плануються для вирішення ризиків, включаючи запобіжні заходи, заходи безпеки та механізми для забезпечення захисту даних
Стандартизований шаблон EDPB 2026 року структурує ці елементи в узгоджений формат, який визнають наглядові органи по всьому ЄС [1]. Використання його зменшує ризик визнання DPIA неповним під час аудиту.
Додаткові елементи найкращих практик включають записи консультацій з Офіцером з захисту даних, внесок зацікавлених сторін від суб'єктів даних або їх представників, де це можливо, та підпис про залишковий ризик.
Скільки коштує DPIA, і чи можна зробити його самостійно?
Вартість DPIA варіюється в залежності від складності. Просту внутрішню оцінку для добре задокументованої діяльності з обробки можна завершити всередині компанії за кілька днів. Складні оцінки, що включають системи AI, трансакції даних через кордон або кілька контролерів даних, можуть зайняти тижні і можуть вимагати залучення зовнішніх юридичних або технічних експертів.
Приблизні діапазони вартості (оцінки на основі ринкових норм):
- Внутрішній DPIA для обробки з низькою складністю: мінімальні витрати, переважно час співробітників (8-20 годин)
- DPIA під керівництвом консультанта для помірної складності: зазвичай 2000-8000 євро
- Повний юридичний та технічний огляд для систем AI з високою складністю: 10 000 євро або більше
Організації з призначеним DPO повинні залучати його з самого початку. Роль DPO включає надання порад щодо того, чи потрібен DPIA, та перегляд завершеної оцінки [3]. Для організацій без внутрішньої експертизи доцільно залучити спеціалізованого консультанта для будь-якої обробки, що включає нові технології або чутливі категорії даних.
Як часто потрібно оновлювати або повторно проводити DPIA?
DPIA не є одноразовою процедурою. Це живий документ, який повинен переглядатися щоразу, коли відбувається матеріальна зміна в діяльності з обробки, яку він охоплює [3].
Тригери для перегляду або повної переоцінки включають:
- Введення нових технологій або нового постачальника в ланцюзі обробки
- Розширення обсягу або кількості зібраних даних
- Зміна мети обробки
- Порушення даних або близький випадок, що виявляє раніше неідентифіковані ризики
- Нові рекомендації від наглядового органу, які впливають на оцінку ризику
- Значні зміни в юридичному або регуляторному середовищі
Як базовий стандарт, організації повинні запланувати періодичний перегляд усіх DPIA щонайменше раз на два-три роки, навіть за відсутності конкретних змін. EDPB розглядає DPIA як інструменти відповідальності, які повинні відображати поточну реальність, а не історичні знімки [3].
Перевірка рішень DPIA
Часто задавані питання
Чи потрібно завершити DPIA перед початком обробки? Так. Стаття 35 GDPR вимагає проведення DPIA до початку діяльності з обробки, а не після її початку. Розпочати обробку з високим ризиком без завершеного DPIA є порушенням [3].
Хто відповідає за проведення DPIA? Юридично відповідальним є контролер даних. Якщо призначено Офіцера з захисту даних, його потрібно проконсультувати під час процесу. Процесори можуть допомагати, але відповідальність лежить на контролері [3].
Чи потрібно публікувати DPIA? Ні. Немає юридичної вимоги публікувати DPIA. Однак організації повинні надати його на запит своєму наглядовому органу, а загальні висновки можуть бути подані суб'єктам даних у рамках зобов'язань щодо прозорості.
Що таке попередня консультація і коли вона застосовується? Якщо DPIA виявляє, що залишкові ризики залишаються високими після всіх заходів пом'якшення, контролер повинен проконсультуватися зі своїм наглядовим органом перед продовженням. Орган має до восьми тижнів для відповіді [3].
Чи може один DPIA охоплювати кілька схожих діяльностей з обробки? Так. EDPB підтверджує, що один DPIA може охоплювати набір схожих операцій з обробки, які представляють порівнянні високі ризики. Це поширено для організацій, які проводять кілька кампаній або продуктів з однаковою основною архітектурою даних [4].
Чи застосовується GDPR, якщо моя компанія знаходиться за межами ЄС? GDPR застосовується до будь-якої організації, яка обробляє особисті дані резидентів ЄС, незалежно від того, де розташована організація. Компанії, що не є резидентами ЄС, які націлені на користувачів ЄС, повинні дотримуватися зобов'язань щодо DPIA так само, як і компанії, що базуються в ЄС.
Чи потрібен DPIA для існуючих діяльностей з обробки? DPIA в першу чергу потрібен для нової обробки. Однак, якщо існуюча діяльність змінюється матеріально або якщо вона ніколи не оцінювалася і несе високий ризик, ретроспективний DPIA настійно рекомендується і може бути вимагатися наглядовим органом [3].
Яку роль відіграє платформа управління згодою у відповідності з DPIA? Платформа управління згодою, така як Biscotti CMP, допомагає організаціям збирати, реєструвати та управляти згодою користувачів таким чином, що підтримує вимоги відповідальності, які лежать в основі відповідності DPIA, особливо для відстеження на основі файлів cookie та діяльності з поведінкового профілювання.
Висновок
Розуміння, коли вам потрібен DPIA, і проведення посібника з оцінки ризиків даних з дійсною ретельністю є одним з найяскравіших показників зрілості програми захисту даних. Це зобов'язання не є бюрократичною формальністю: це структурований метод для виявлення шкоди до того, як вона досягне суб'єктів даних.
Дії на наступні кроки для 2026 року:
- Скласти карту всіх діяльностей з обробки та перевірити кожну за дев'ятьма критеріями ризику EDPB [4]
- Завантажити та використовувати стандартизований шаблон DPIA EDPB, прийнятий у квітні 2026 року [1]
- Перевірити опублікований список обов'язкових діяльностей з DPIA вашого національного наглядового органу
- Для будь-якого впровадження AI або машинного навчання інтегрувати свій DPIA з процесом FRIA Закону ЄС про AI [2]
- Встановити календарні нагадування для перегляду існуючих DPIA щонайменше раз на два роки або після будь-якої матеріальної зміни
- Якщо залишкові ризики залишаються високими після пом'якшення, проконсультуватися зі своїм наглядовим органом перед продовженням [3]
- Переконатися, що ваша інфраструктура управління згодою, включаючи інструменти, такі як Biscotti CMP, підтримує записи відповідальності, від яких залежить ваша програма DPIA
Організації, які розглядають DPIA як живі інструменти відповідальності, а не одноразові завдання з дотримання вимог, будуть краще підготовлені до адаптації, оскільки регуляторні очікування продовжують еволюціонувати.
Посилання
[1] Enhancing Compliance And Consistency Edpb Adopts Dpia Template Et - https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_et?utm_source=openai
[2] Integrating Dpia And Fria Under The Eu Ai Act - https://digital.nemko.com/insights/integrating-dpia-and-fria-under-the-eu-ai-act?utm_source=openai
[3] When Data Protection Impact Assessment Dpia Required En - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en?utm_source=openai
[4] Data Protection Impact Assessment En - https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en?utm_source=openai
[5] Guide Data Protection Impact Assessments - https://www.dataprotection.ie/en/dpc-guidance/guide-data-protection-impact-assessments?utm_source=openai
[6] Data Protection Impact Assessments - https://cy.ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-impact-assessments/?utm_source=openai