La valutazione dei rischi associati alla Elaborazione dei dati personali gioca un ruolo importante nella Protezione dei dati un ruolo centrale. Uno strumento chiave in questo contesto è il cosiddetto Analisi del valore di soglia: Un esame preliminare che decide se un Valutazione dell'impatto sulla protezione dei dati (DSFA) ai sensi dell'art. 35 GDPR è necessario. La questione si pone regolarmente nella pratica, soprattutto per i responsabili della protezione dei dati e i responsabili della conformità: Quando è necessario effettuare un'analisi del valore soglia, come funziona e come si può valutare in modo affidabile se esiste un "rischio elevato previsto"? Questo articolo fornisce risposte pratiche a queste e ad altre domande e mostra come le analisi dei valori soglia possano essere integrate nell'organizzazione della protezione dei dati in modo efficace e conforme alla legge.
Che cos'è l'analisi del valore soglia?
Un'analisi del valore soglia (inglese: analisi della soglia) denota un Valutazione preventiva del rischio nella protezione dei dati. Prima di avviare un nuovo trattamento dei dati o di modificarlo in modo significativo, la Persone responsabili, se la soglia di "alto rischio" è superata. Se questo è il caso, l'art. 35 GDPR un dettaglio Valutazione dell'impatto sulla protezione dei dati (DSFA) può essere effettuata. L'analisi del valore soglia è non espressamente menzionato come termine nella leggema si evince dall'art. 35 commi 1, 3 e 4 GDPR. Si tratta fondamentalmente di un Analisi del rischio a montecon cui la corrente Livello di rischio uno Elaborazione è determinato.
Il Rischio per i diritti e le libertà delle persone fisiche al centro. In altre parole, le possibili conseguenze negative per le persone interessate, come la discriminazione, il furto di identità, le perdite finanziarie o i danni alla reputazione (cfr. considerando 75). GDPR).
Un rischio è tipicamente determinato da due fattori: Probabilità di accadimento e Gravità del danno di un evento. In parole povere, più è probabile e più è grave il danno potenziale per Parti interessate più alto è il rischio. L'analisi del valore soglia chiede quindi: È probabile che questo rischio raggiunga un livello elevato? In caso contrario, il Elaborazione possono gestire senza DSFA. In tal caso, la DPIA è obbligatoria.
Qual è la differenza tra l'analisi del valore soglia, l'analisi del rischio e l'analisi del rischio. Valutazione dell'impatto sulla protezione dei dati (DSFA)?
Questi termini sono strettamente correlati, ma hanno caratteristiche diverse Funzioni nella gestione della protezione dei dati:
- Analisi del valore di soglia è un Valutazione del rischio formalizzata nella fase di preparazione di una DPIA. Si concentra essenzialmente sulla domanda "Sì o no: c'è un rischio elevato?". In questo caso, quindi non I rischi potenziali sono invece classificati in modo approssimativo sulla base di criteri. L'analisi dei valori soglia è quindi Parte della gestione del rischio di una persona responsabile e serve al Processo decisionalese è necessaria un'indagine più completa (DPIA).
- Analisi del rischio è spesso usato come termine generale e può riferirsi sia all'analisi del valore soglia sia all'analisi dettagliata del rischio come parte della DPIA. In linea di principio, l'analisi GDPRche Persone responsabili i rischi delle loro attività di trattamento valutare e gestire continuamente indipendentemente dall'esistenza o meno di un obbligo di DPIA. Ogni Elaborazione comporta alcuni rischi che possono essere ridotti al minimo Misure tecniche e organizzative devono essere padroneggiati. A questo proposito, il La valutazione del rischio è un processo continuo nella gestione della protezione dei dati. L'analisi del rischio in senso stretto (ad esempio, analoga a quella della Analisi dei bisogni di protezione nel Sicurezza informatica) comprende il Identificazione dei rischiche Valutazione della probabilità di accadimento e dell'ammontare della perdita e il Definizione di misure per il trattamento del rischio.
- Valutazione dell'impatto sulla protezione dei dati (DSFA) è il Indagine dettagliata e gestione dei rischi elevati. Se l'analisi dei valori soglia ha dimostrato che è probabile che esista un rischio elevato, si procede con il DSFA. Dettaglio. La DPIA è una procedura strutturata, il cui contenuto è definito nell'articolo 35 (7) del GDPR. GDPR è specificato. In genere comprende: una precisa Descrizione del processouna valutazione del Necessità e proporzionalità il Elaborazionea Analisi approfondita del rischio (quali rischi specifici esistono per quali diritti?), e la Definizione di misure per gestire questi rischi. Il risultato è un Rapporto DSFAche contiene tutti i risultati e le Misure di minimizzazione del rischio documentato. Parte del DSFA può anche essere un Feedback del responsabile della protezione dei dati e se, nonostante le misure adottate, permane un rischio residuo elevato, una Consultazione il Autorità di vigilanza (Art. 36 GDPR).
Suggerimento di lettura: Quando è necessario che un Valutazione dell'impatto sulla protezione dei dati (DSFA)?
Quando non è necessaria un'analisi del valore soglia?
Dopo il GDPR è un Valutazione dell'impatto sulla protezione dei dati "sempre richiesto quando si pianifica un Elaborazione di dati personali può comportare un rischio elevato per i diritti e le libertà delle persone fisiche".. In termini pratici, ciò significa che prima In occasione della messa in funzione di un nuovo sistema di elaborazione dati o di una modifica significativa di quello esistente, è necessario effettuare un'analisi del valore soglia per valutare con precisione questo rischio elevato. Articolo 35 GDPR cita esplicitamente alcuni casi in cui la DPIA deve essere effettuata in ogni caso. Questi includono in particolare
- Profilazione e il processo decisionale automatizzato con effetti significativi (ad esempio, sistemi di credit scoring completamente automatizzati),
- Ampio Elaborazione Categorie particolari di dati personali (dati sensibili come Dati sulla salutedati biometrici, ecc,)
- Sorveglianza sistematica e capillare degli spazi accessibili al pubblico. (esempio classico: Sorveglianza video grandi aree).
Se è previsto un Elaborazione in una di queste categorie, l'obbligo di DPIA è chiaro. L'analisi del valore soglia, quindi, non fa che confermare questa ovvia constatazione.
Inoltre, l'articolo 35, paragrafo 4 GDPR le autorità di vigilanza, Elenchi di operazioni di elaborazione per i quali è richiesta una DPIA. In Germania esistono Liste nere sia per il settore non pubblico (adottati dal Conferenza sulla protezione dei datiDSK) e per gli enti pubblici (emessi dal BfDI). Ad esempio, il Lista nera sistemi di scoring, analisi di big data dei dati dei clienti o misure di monitoraggio estese come soggetti alla DPIA. Pertanto, è sempre consigliabile verificare se il progetto di Elaborazione fa parte di tale elenco.
Nota: Sui cosiddetti Whitelist (Elenchi di operazioni di trattamento che non DSFA), poiché praticamente qualsiasi processo può diventare rischioso a seconda del contesto. Invece, il principio di Esame caso per casoPer ciascuno nuovo Elaborazione il rischio deve essere valutato individualmente.
Quando deve essere effettuata un'analisi del valore soglia?
In tutti gli altri casi in cui non esiste un obbligo chiaro, l'analisi del valore soglia è il metodo di scelta per prendere una decisione, se è necessaria una DPIA. Come linea guida, il Gruppo di Lavoro Articolo 29 (ora EDPB) ha nove criteri che sono indicatori di un rischio elevato. Di norma, la combinazione di almeno due di questi criteri che deve essere effettuata una DPIA. Questi criteri includono, tra gli altri:
- Decisioni automatizzate con effetti legali o effetti significativi simili,
- Monitoraggio sistematico (soprattutto se clandestina o su larga scala),
- Elaborazione dati sensibili o dati penali (art. 9 e 10 GDPR), soprattutto se di ampia portata,
- Elaborazione dei dati su larga scala (molti Parti interessategrandi quantità di dati, lungo periodo di tempo, ampia estensione spaziale),
- Unire i record di dati da varie fonti, che il Parti interessate originariamente previsti per scopi diversi,
- Dati sulle persone particolarmente vulnerabili (ad esempio, figli, pazienti, dipendenti in rapporti di dipendenza),
- Utilizzo di tecnologie nuove o innovative o processi (ad esempio, sistemi di intelligenza artificiale, tecnologie di tracciamento),
- I trattamenti che impediscono agli interessati di esercitare i propri diritti o li escludono da un servizio (ad esempio, un punteggio che decide l'accesso a un servizio).
Se si applicano diversi di questi fattori di rischio, la soglia di rischio elevato viene solitamente superata. In pratica, le autorità di vigilanza tendono a raccomandare effettuare in modo proattivo una DPIAsoprattutto se qualitativo i rischi significativi sono riconoscibili. È meglio impostare una valutazione d'impatto in una fase iniziale piuttosto che correre il rischio di una violazione della protezione dei dati. Importante: una DPIA deve sempre prima Inizio il rischio elevato Elaborazione essere completati (cfr. art. 35, par. 1, del regolamento). GDPR - "da effettuare in anticipo"). Pertanto, l'analisi del valore soglia dovrebbe avvenire già nella fase di pianificazione dei nuovi progetti.
Come si esegue un'analisi del valore soglia nella pratica?
Viene effettuata un'analisi del valore di soglia Strutturato in più fasi. I responsabili della protezione dei dati e della conformità possono utilizzare le seguenti procedure collaudate come guida:
Fase 1: Descrizione del progetto Elaborazione e condizioni quadro
In primo luogo, l'operazione di lavorazione prevista viene descritta nel modo più specifico possibile: Quali dati sono forniti da a chi, dove, come e per quale scopo trattati? Questa descrizione deve essere confrontata con il registro delle attività di trattamento. È inoltre importante Documentazione il Base giuridica (Art. 6 GDPRse applicabile Art. 9 GDPR per i dati speciali) e l'opzione Stanziamento di fondi del trattamento dei dati. In assenza di una base giuridica valida, il Elaborazione non si svolge affatto - in tal caso, la DPIA non è necessaria perché il progetto sarebbe comunque inammissibile.
Fase 2: verifica preliminare di eccezioni o obblighi evidenti
Il passo successivo consiste nel verificare se un Deroga o è già stato stabilito un chiaro obbligo di DPIA. In alcuni Paesi (ad esempio l'Austria) esiste una Lista bianca-che esenta alcune operazioni di trattamento dall'obbligo di DPIA. Se tale esenzione è applicabile, l'analisi della soglia può terminare qui. Il processo deve quindi essere documentato (compreso il riferimento all'eccezione) e non è necessaria una DPIA. Al contrario: se il Elaborazione su un documento ufficiale Lista nera (elenco obbligatorio), è possibile iniziare direttamente con il DSFA e l'analisi del valore di soglia viene utilizzata solo per l'analisi di Documentazione del rischio elevato. In tutti gli altri casi, la valutazione dettagliata del rischio continua.
Fase 3: valutazione sistematica dei criteri di rischio
Stiamo valutando il progetto di Elaborazione sulla base di un catalogo di criteri a possibili rischi elevati. Molte organizzazioni utilizzano Liste di controllo o cataloghi di domande che coprono i criteri raccomandati dall'EDSA e altri aspetti di rilevanza pratica. Le domande chiave tipiche di un'analisi del valore soglia sono, ad esempio
- Vengono valutati o profilati gli aspetti personali delle persone interessate? (Parola chiave Profilazione)
- Vengono prese decisioni automatizzate che hanno effetti legali o conseguenze significative simili?
- Se si effettua un monitoraggio sistematico, ad esempio attraverso Tracciamento o Sorveglianza video?
- Trattiamo categorie speciali di dati personali (ad esempio, salute, religione, orientamento sessuale) o dati penali - e magari su larga scala?
- Se i dati sono memorizzati in su larga scala (molte persone, grandi quantità di dati, lungo periodo di archiviazione, ampia copertura geografica)?
- Se i record di dati provenienti da fonti diverse vengono uniti in modo tale che Parti interessate non si aspettava questo?
- Riguarda il Elaborazione Persone vulnerabili? (bambini, dipendenti, pazienti, ecc. che si trovano in uno squilibrio di potere rispetto alla persona responsabile)
- Vieni Nuove tecnologie o processi innovativi i cui effetti sono ancora incerti? (ad esempio AI, Grandi dati Analitica, IoT)
- Può il Elaborazione portano al fatto che Parti interessate essere impediti nell'esercizio dei loro diritti o esclusi da un servizio? (ad esempio, il punteggio che decide sull'adempimento di un contratto)
Ognuna di queste domande riguarda un possibile aspetto del rischio. Per ogni domanda deve essere chiaramente documentato se si tratta di con "Sì" (si applica) o "No" e perché. Già un singolo "sì" per una delle domande fondamentali (ad esempio, valutazione degli aspetti personali), Elaborazione dati sensibili o il monitoraggio di aree pubbliche) può essere sufficiente per assumere un obbligo di DPIA. Soprattutto quando si tratta di interventi di grande portata, in caso di dubbio si dovrebbe propendere per una DPIA. In molti casi, tuttavia, diversi criteri affermativi indicano che il rischio complessivo è elevato.
Fase 4: valutazione complessiva del rischio e decisione
In seguito il Rischio totale del progetto Elaborazione stimati. I risultati dei singoli criteri sono qui riassunti. Analogamente alle classiche analisi del rischio, un Matrice di rischio per valutare la probabilità di accadimento e l'entità del danno. È importante che questa valutazione Obiettivo e giustificato (cfr. considerando 76 GDPR richiede una valutazione basata su criteri oggettivi). Se l'analisi del valore soglia giunge alla conclusione che Nessun rischio elevato questo viene registrato per iscritto. In questo caso nessuno La DPIA è necessaria e il processo può essere avviato normalmente (nel rispetto di tutti gli altri requisiti del GDPR). Tuttavia, se si giunge alla conclusione che è probabile un rischio elevato è disponibile, dovrebbe viene effettuato immediatamente un DSFA essere analizzati. L'analisi del valore di soglia porta poi alla raccomandazione o all'obbligo di effettuare un Valutazione dell'impatto sulla protezione dei dati da impostare.
Passo 5: Documentazione dei risultati
Trasparenza e tracciabilità anche in questo caso sono essenziali: ogni analisi dei valori soglia deve essere documentata per iscritto. Anche se il risultato è che non è necessaria una DPIA. Il Autorità di vigilanza o il responsabile della protezione dei dati deve essere in grado di capire, come il Persone responsabili ha preso la decisione. Per questo motivo Documentazione almeno: una descrizione dell'attività, l'insieme dei criteri testati, le risposte/valutazioni e la conclusione con le motivazioni. In caso di audit, un'analisi dei valori soglia adeguatamente documentata dimostra che il Persone responsabili ha preso sul serio il suo dovere di valutare i rischi.
Suggerimento pratico: utilizzare le risorse esistenti Aiuti. Molte autorità di vigilanza e organizzazioni per la protezione dei dati forniscono liste di controllo, schemi di test o strumenti per l'analisi dei valori soglia. Ad esempio, la LfD Bassa Sassonia offre un'analisi dettagliata del Schema di prova con lista di controllo pere c'è anche una lista di controllo in Excel disponibile gratuitamente presso l'Autorità per la protezione dei dati del Liechtenstein. Queste risorse possono servire come base, ma devono sempre essere adattate alle circostanze specifiche della vostra azienda.
Come si integra l'analisi del valore soglia nell'organizzazione della protezione dei dati?
Affinché le analisi delle soglie e le DPIA siano efficaci nell'attività quotidiana, devono essere integrate nel sistema di analisi esistente. Processi e strutture essere incorporato.
Coinvolgimento precoce e processi fissi: Stabilire un chiaro sistema interno Fasi del processoche attivano automaticamente un controllo della protezione dei dati per i nuovi progetti o le modifiche ai processi. Ad esempio, la gestione del progetto può stabilire che il responsabile della protezione dei dati debba essere coinvolto prima dell'avvio di un nuovo sistema informatico e che debba essere effettuata un'analisi del valore soglia. La persona responsabile e il responsabile della protezione dei dati dovrebbero idealmente effettuare questa analisi. Eseguire insieme. Formare i reparti specializzati a segnalare tempestivamente i nuovi trattamenti di dati al team di protezione dei dati.
Documentazione e verifica: Trattare il Documentazione dell'analisi delle soglie con la stessa cura di altra documentazione GDPR (Elenco di elaborazioneTOM, ecc.). Specificare, dove l'archiviazione delle analisi completate (ad esempio nel vostro strumento di gestione della protezione dei dati) e chi è autorizzato a rilasciare è. Assicuratevi che ogni analisi contenga una data e un orario, i dettagli dell'auditor (ad esempio, il DPO) e una decisione chiara (DPIA necessaria: sì/no + giustificazione). Questi documenti possono essere utilizzati in caso di audit o di richieste da parte dell'autorità giudiziaria. Autorità di vigilanza a sostegno del vostro processo decisionale di conformità.
Derivazione delle misure e monitoraggio: L'analisi del valore soglia non deve mai essere fine a se stessa. Traete le conclusioni dai risultati: Se non è richiesta una DPIA, ma comunque Aumento dei rischi sono stati identificati (anche se al di sotto della soglia "alta"), valutare se sia necessario adottare misure preventive. Misure di protezione può essere attuata. Se è stata effettuata una DPIA, Seguire le misure definite e verificarne l'efficacia. La gestione del rischio è dinamica: è quindi necessario monitorare costantemente se ci sono cambiamenti nella situazione di riferimento. Elaborazione cambia qualcosa che Nuova valutazione del rischio necessario. Ad esempio Cambiamenti tecnologici (nuovi strumenti, uso dell'IA), Variazione del traffico dati (circa Trasmissione verso paesi terzi a seguito di nuove sentenze, come ad esempio Schrems II) o Nuovi scopi il Elaborazione aumentare significativamente un rischio precedentemente moderato. In questi casi, è consigliabile analizzare il valore soglia. aggiornamento o da effettuare nuovamente.
Creare un'analisi di soglia con Ailance DSFA
L'analisi del valore di soglia è un Strumento praticoall'approccio basato sul rischio del GDPR nella vita di tutti i giorni. Aiuta i responsabili della protezione dei dati e i responsabili della conformità a concentrare le risorse limitate sulle operazioni di trattamento veramente critiche. Riconoscendo i rischi potenziali in una fase precoce ed effettuando una DPIA in tempo utile, è possibile prevenire in modo proattivo le violazioni della protezione dei dati. Più alto è il rischio di protezione dei dati, più complete devono essere le misure di protezione. L'analisi del valore soglia garantisce che nessun rischio elevato passi inosservato. Nel complesso, contribuisce in modo significativo a rendere la protezione dei dati praticabile e verificabile, nel senso di una protezione precauzionale dei diritti fondamentali delle persone interessate.
Suggerimento alla fine: L'analisi del valore di soglia può essere effettuata con il nostro strumento Ailance DSFA rapidamente e in modo strutturato. Il sistema intuitivo vi guida passo dopo passo nella valutazione delle vostre operazioni di trattamento, tra cui la valutazione dei rischi, l'analisi automatica e la valutazione dei rischi. Documentazione e il collegamento ai processi DSFA. Saremo lieti di presentarvi le funzioni in un incontro personale. Per ulteriori informazioni, consultare la pagina del prodotto Ailance DSFA.
German 
English 
Italian 
French