De gegevensbeschermingseffectbeoordeling is het AVG-document dat een softwarebedrijf als laatste schrijft en als eerste zou moeten schrijven: ze is verschuldigd vóór de verwerking begint, ze is de plaats waar de riskantste functie van het product in de eigen termen van de verordening wordt beschreven, en ze is wat de toezichthoudende autoriteit leest wanneer een klacht die functie noemt. Dit artikel leest artikel 35 punt voor punt voor een bedrijf dat software bouwt en geeft u de pagina die beslist of er een verschuldigd is en haar schrijft.

Wanneer er een verschuldigd is: artikel 35, lid 1, en de drie genoemde gevallen

Artikel 35, lid 1, vereist een beoordeling wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Artikel 35, lid 3, noemt vervolgens drie gevallen waarin zij in elk geval vereist is: (a) een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering, waarop besluiten met rechtsgevolgen of vergelijkbaar wezenlijke gevolgen worden gebaseerd; (b) grootschalige verwerking van de bijzondere categorieën van artikel 9, lid 1, of van strafrechtelijke gegevens uit hoofde van artikel 10; (c) stelselmatige en grootschalige monitoring van een openbaar toegankelijk gebied.

Voor een softwarebedrijf is het eerste geval het geval dat productfuncties vangt: een kandidatenranking, een krediet- of fraudescore, een geautomatiseerde geschiktheidscontrole, een inhouds- of accountbesluit dat door een model wordt genomen. Het is een systematische en uitgebreide beoordeling, of iemand het nu profilering noemt of niet, en het zet de beoordeling aan. Het tweede geval vangt gezondheids-, biometrische en vergelijkbare gegevens op grote schaal, het derde openbare video- en sensoranalytics.

De negen criteria achter "waarschijnlijk een hoog risico"

Buiten de drie gevallen wordt "waarschijnlijk een hoog risico" gelezen met de richtsnoeren die de Groep artikel 29 heeft vastgesteld en die het Europees Comité voor gegevensbescherming heeft bekrachtigd, en die negen criteria geven: evaluatie of scoring; geautomatiseerde besluitvorming met rechtsgevolg of vergelijkbaar gevolg; stelselmatige monitoring; gevoelige gegevens of gegevens van zeer persoonlijke aard; gegevens die op grote schaal worden verwerkt; het matchen of samenvoegen van datasets; gegevens over kwetsbare betrokkenen; innovatief gebruik of toepassing van nieuwe technologische of organisatorische oplossingen; en verwerking die betrokkenen belet een recht uit te oefenen of van een dienst of overeenkomst gebruik te maken. De vuistregel van de richtsnoeren is dat een verwerking die aan twee van de criteria voldoet in de meeste gevallen een beoordeling vereist, en dat één criterium genoeg kan zijn.

Artikel 35, lid 4, vereist van elke toezichthoudende autoriteit dat zij een lijst publiceert van de soorten verwerkingen waarvoor de beoordeling verplicht is, en artikel 35, lid 5, laat haar een lijst publiceren van soorten waarvoor dat niet zo is; de lijsten verschillen per lidstaat, en die van uw leidende autoriteit is degene om te lezen. Productanalytics die gebruiksgegevens met accountgegevens combineert, een AI-functie toegepast op klantinhoud en elk volgen van gebruikers over diensten heen scoren op meerdere van de negen, en een bedrijf dat die functies levert, zit meestal al in de beoordeling voordat het de genoemde gevallen bereikt.

De vier elementen: artikel 35, lid 7

De beoordeling bevat ten minste: (a) een systematische beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden, waaronder, in voorkomend geval, de gerechtvaardigde belangen die door de verwerkingsverantwoordelijke worden behartigd; (b) een beoordeling van de noodzaak en de evenredigheid van de verwerkingen met betrekking tot de doeleinden; (c) een beoordeling van de risico's voor de rechten en vrijheden van betrokkenen; (d) de beoogde maatregelen om de risico's aan te pakken, waaronder waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen en om aan te tonen dat aan de verordening is voldaan, met inachtneming van de rechten en gerechtvaardigde belangen van de betrokkenen en andere personen in kwestie.

Twee verdere leden vormen het document. Artikel 35, lid 2, vereist dat de verwerkingsverantwoordelijke het advies van de functionaris voor gegevensbescherming inwint wanneer er een is aangewezen, en artikel 35, lid 9, vereist dat hij, in voorkomend geval, de betrokkenen of hun vertegenwoordigers naar hun mening over de voorgenomen verwerking vraagt. Artikel 35, lid 8, laat de naleving van goedgekeurde gedragscodes meewegen in de beoordeling. Element (d) is waar de beoordeling het beveiligingsprogramma ontmoet: de maatregelen zijn de ISO 27001-maatregelen en de ISO 27701-privacymaatregelen die het bedrijf al uitvoert, per risico genoemd in plaats van in het algemeen, en de pagina die de beoordeling schrijft labelt elk element met het punt van artikel 35, lid 7, dat het beantwoordt.

Voorafgaande raadpleging: artikel 36

Wanneer uit de beoordeling blijkt dat de verwerking een hoog risico zou opleveren indien de verwerkingsverantwoordelijke geen maatregelen neemt om het risico te beperken, vereist artikel 36, lid 1, dat de verwerkingsverantwoordelijke vóór de verwerking de toezichthoudende autoriteit raadpleegt. Artikel 36, lid 2, geeft de autoriteit acht weken voor schriftelijk advies, verlengbaar met zes weken rekening houdend met de complexiteit van de verwerking, en laat haar elk van haar bevoegdheden uit artikel 58 gebruiken. Artikel 36, lid 3, somt op wat de raadpleging verstrekt: de verantwoordelijkheden van de verwerkingsverantwoordelijke, de gezamenlijke verwerkingsverantwoordelijken en de verwerkers, de doeleinden en middelen, de maatregelen en waarborgen, de contactgegevens van de functionaris, de beoordeling zelf, en alles wat de autoriteit verder verlangt. In de praktijk is de raadpleging zeldzaam, omdat element (d) wordt geschreven om het restrisico omlaag te brengen; de pagina stelt de restrisicovraag als laatste en schrijft de paragraaf over artikel 36 alleen wanneer het antwoord is dat een hoog risico overblijft.

De herziening, en de boete

Artikel 35, lid 11, vereist dat de verwerkingsverantwoordelijke de beoordeling waar nodig herziet, ten minste wanneer het risico van de verwerkingen verandert; een nieuw model, een nieuwe gegevensbron of een nieuw doel is zo'n verandering. Artikel 83, lid 4, onder a, stelt het plafond voor een schending van de artikelen 35 en 36 op EUR 10 miljoen of 2 % van de wereldwijde jaaromzet, en de besluiten van de autoriteiten over de beoordeling draaien om twee vaststellingen: of er een bestond voordat de verwerking begon, en of haar element (d) maatregelen noemde die daarna ook echt werden uitgevoerd.

Het schrijven

De pagina van de effectbeoordeling stelt de drie vragen van artikel 35, lid 3, in de eigen woorden van de verordening, daarna de vraag van artikel 35, lid 1, waar geen van de drie geldt, schrijft de lezing met de bepaling erachter, en neemt de vier elementen als invoer, gelabeld met het punt zelf; de restrisicovraag beslist of de paragraaf over artikel 36 wordt toegevoegd. De uitkomst is de beoordeling als document om te kopiëren of te downloaden, één per verwerkingsactiviteit, bewaard naast het verwerkingsregister dat de activiteit beschrijft; de bepaling van de verplichtingen geeft haar drie antwoorden door, zodat de vragen één keer worden gesteld.