Tietosuojan vaikutustenarviointi: milloin DPIA on pakollinen ja mitä siihen kirjoitetaan

Lyhyesti

Tietosuojan vaikutustenarviointi, lyhyesti DPIA, on tietosuoja-asetuksen 35 artiklan mukainen arviointi, jonka rekisterinpitäjän on tehtävä ennen käsittelyä, kun käsittely todennäköisesti aiheuttaa korkean riskin ihmisten oikeuksille ja vapauksille. Se ei ole lomake vaan päättelyketju: mitä tehdään, miksi se on tarpeellista, mitä voi mennä pieleen ja mitä sille tehdään. Arviointi vaaditaan erityisesti profilointiin perustuvissa merkittävissä päätöksissä, laajamittaisessa arkaluonteisten tietojen käsittelyssä ja julkisen tilan järjestelmällisessä valvonnassa. Tekoälyn tulo työpaikoille on tehnyt siitä useammin pakollisen kuin moni huomaa.

Milloin arviointi vaaditaan

Asetuksen 35 artiklan 1 kohta asettaa yleisen säännön: jos tietyntyyppinen käsittely, etenkin uutta teknologiaa käytettäessä, todennäköisesti aiheuttaa korkean riskin luonnollisen henkilön oikeuksien ja vapauksien kannalta, rekisterinpitäjän on ennen käsittelyä arvioitava suunniteltujen käsittelytoimien vaikutukset henkilötietojen suojalle. Käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset ratkaisevat. Yhtä arviointia voidaan käyttää samankaltaisiin käsittelytoimiin, joilla on vastaavat riskit.

Artiklan 3 kohta nimeää kolme tilannetta, joissa arviointi vaaditaan erityisesti.

Tilanne	Mitä se tarkoittaa työpaikalla
Henkilökohtaisten ominaisuuksien järjestelmällinen ja kattava arviointi automaattisen käsittelyn, kuten profiloinnin, perusteella, kun se johtaa oikeusvaikutuksiin tai vastaavasti merkittäviin päätöksiin	Työhakemusten pisteytys, asiakkaiden riskiluokittelu, etuuskäsittelyn priorisointi algoritmilla
Laajamittainen käsittely, joka kohdistuu erityisiin henkilötietoryhmiin tai rikostuomioita ja rikkomuksia koskeviin tietoihin	Potilas- ja asiakastiedot sotessa, työterveystiedot koko henkilöstöstä, rikostaustaotteet
Yleisölle avoimen alueen järjestelmällinen valvonta laajamittaisesti	Kameravalvonta katualueella, kauppakeskuksessa tai asemalla, erityisesti analytiikan kanssa

Lisäksi 4 kohta velvoittaa valvontaviranomaisen laatimaan ja julkaisemaan luettelon käsittelytoimien tyypeistä, joille arviointi vaaditaan. Suomessa tietosuojavaltuutetun luettelo on se, josta tarkistetaan, kuuluuko oma käsittely vaadittuihin tyyppeihin; 5 kohdan mukaan viranomainen voi julkaista myös luettelon käsittelyistä, joille arviointia ei vaadita.

Mitä arvioinnissa on oltava

Artiklan 7 kohta luettelee vähimmäissisällön. Arviointi sisältää järjestelmällisen kuvauksen suunnitelluista käsittelytoimista ja käsittelyn tarkoituksista, tarvittaessa rekisterinpitäjän oikeutetut edut mukaan lukien; arvion käsittelytoimien tarpeellisuudesta ja oikeasuhteisuudesta tarkoituksiin nähden; arvion rekisteröityjen oikeuksia ja vapauksia koskevista riskeistä; sekä suunnitellut toimenpiteet riskeihin puuttumiseksi, mukaan lukien suoja- ja turvallisuustoimet ja mekanismit, joilla varmistetaan henkilötietojen suoja ja osoitetaan, että asetusta on noudatettu.

Neljä kohtaa ovat järjestyksessä syystä. Jos kuvaus on epämääräinen, tarpeellisuutta ei voi arvioida. Jos tarpeellisuutta ei ole arvioitu, riski lasketaan käsittelylle, jota ei ehkä tarvitse tehdä lainkaan. Yleisin heikkous arvioinneissa on toinen kohta: kysymystä "voisiko saman saavuttaa vähemmällä" ei kysytä, koska hankinta on jo päätetty.

Artiklan 2 kohta velvoittaa pyytämään neuvoja tietosuojavastaavalta, jos sellainen on nimitetty, ja 9 kohta tapauksen mukaan rekisteröityjen tai heidän edustajiensa näkemyksiä. Työpaikalla jälkimmäinen tarkoittaa usein henkilöstön edustajia, ja se kytkeytyy yhteistoimintaan, josta kerrotaan artikkelissa Esihenkilön tietosuojavastuu.

Mitä arvioinnin jälkeen tapahtuu

Arviointia ei lähetetä minnekään. Se dokumentoidaan, ja se on osa sitä näyttöä, jolla rekisterinpitäjä osoittaa noudattavansa asetusta. Asetuksen 36 artikla tuo yhden poikkeuksen: jos arviointi osoittaa, että käsittely aiheuttaisi korkean riskin, jota rekisterinpitäjä ei toimenpiteillään pysty riittävästi pienentämään, valvontaviranomaista on kuultava ennen käsittelyn aloittamista. Tämä on harvinaista, ja se on tarkoitettu harvinaiseksi: arviointi johtaa tavallisesti toimenpiteisiin, jotka laskevat riskin hyväksyttäväksi.

Artiklan 11 kohta velvoittaa tarkistamaan arvioinnin tarvittaessa ja ainakin silloin, kun käsittelytoimien riski muuttuu. Järjestelmän uusi toiminto, uusi tietolähde tai uusi käyttötarkoitus ovat kaikki muutoksia, jotka avaavat arvioinnin uudelleen. Kertaluonteinen asiakirja hankinnan yhteydessä ei siis täytä artiklaa, jos järjestelmä elää.

Mitä tekoäly muuttaa

Tekoäly voi osua kaikkiin kolmeen 3 kohdan tilanteeseen. Kielimalli, joka seuloo hakemuksia ja vaikuttaa valintaan, on automaattiseen käsittelyyn perustuvaa henkilökohtaisten ominaisuuksien arviointia. Puheentunnistus asiakaspalvelussa käsittelee ääntä, joka voi paljastaa terveydentilan, ja laajamittaisena se osuu b alakohtaan. Kameravalvonnan analytiikka tekee laajamittaisesta valvonnasta järjestelmällistä. Kun jokin 3 kohdan tilanteista täyttyy, arviointi on pakollinen sellaisenaan, ilman erillistä päätelmää riskin korkeudesta. Pelkkä uuden teknologian käyttö ei sitä ole: se on artiklan 1 kohdassa peruste arvioida riski, ei peruste olettaa se korkeaksi. Siksi tekoälyhankinnan ensimmäinen askel on lyhyt tarvearvio, kirjattu päätös siitä, osuuko käsittely 3 kohdan tilanteisiin tai valvontaviranomaisen luetteloon tai onko riski muuten korkea, ja varsinainen vaikutustenarviointi tehdään, kun jokin näistä täyttyy.

Tekoälyasetus kytkee omat velvoitteensa tähän. Sen 26 artiklan 9 kohta velvoittaa korkean riskin järjestelmän käyttöönottajan käyttämään tarjoajan 13 artiklan mukaisesti toimittamia tietoja täyttääkseen velvollisuutensa tehdä tietosuojan vaikutustenarviointi, ja 27 artiklan 4 kohta sanoo, että perusoikeusvaikutusten arviointi täydentää jo tehtyä tietosuojan vaikutustenarviointia. Julkishallinnossa kaksi arviointia tehdään siis yhdessä prosessissa, jossa tietosuojavastaava ja tekoälyvastaava tekevät kumpikin osansa. Tekoälyasetuksen puoli on käyty läpi artikkelissa Korkean riskin tekoäly.

Mitä arviointi ei ole

Se ei ole lupa. Hyvin tehty arviointi ei tee lainvastaisesta käsittelystä lainmukaista; se paljastaa, jos käsittelyperuste puuttuu tai tarpeellisuus ei täyty, ja silloin oikea lopputulos on olla tekemättä. Se ei ole myöskään tietoturvatarkastus, vaikka turvallisuustoimet ovat osa sitä: riski arvioidaan ihmisen, ei organisaation, näkökulmasta. Ja se ei ole tietosuojavastaavan yksin tekemä asiakirja. Rekisterinpitäjä vastaa arvioinnista, tietosuojavastaava neuvoo, ja se, joka tuntee käsittelyn, kirjoittaa kuvauksen.

Taitokatalogimme pitää riskiperusteista tietosuojaa ja vaikutustenarviointia tietosuojavastaavan tason 4 taitona, ja se on yksi kuudesta taidosta, jotka Tietosuojavastaavan osaaminen -opintopolku todentaa. Tietosuojavastaavan roolista kokonaisuutena kerrotaan artikkelissa Milloin tietosuojavastaava on nimettävä ja mitä hänen pitää osata?. Kun arvioinnista huolimatta jokin menee pieleen, seuraava askel on artikkelissa Henkilötietojen tietoturvaloukkaus.