Andmekaitsealane mõjuhinnang (DPIA)

Andmekaitsealane mõjuhinnang lühidalt

Andmekaitsealane mõjuhinnang on dokument, milles vastutav töötleja kirjeldab töötlemist ja hindab selle ohte enne, kui töötlemine algab. Ingliskeelne lühend on DPIA. Nõue tuleb GDPR artiklist 35 ja Eestis täpsustab seda isikuandmete kaitse seadus.

Kolm asja teevad selle kasulikuks, mitte ainult kohustuseks: dokument sunnib välja kirjutama, mida süsteem päriselt teeb, kes vastutab ja kuidas ohtu maandatakse. See on sama töö, mida on vaja iga tõsise tarkvaraprojekti juures.

Millal mõjuhinnang on nõutav

Kriteerium on kaks sõna: suur oht. Andmekaitse Inspektsiooni juhendi järgi tuleb mõjuhinnang siis, kui töötlemise laad, ulatus, kontekst ja eesmärk viitavad tõenäoliselt suurele ohule. Juhend annab ka arvulised künnised, mida mujalt ei leia:

Arv ei ole ainus tee. Kolm GDPR artikli 35 näidet on profileerimine automatiseeritud vahenditega, eriliiki andmete ulatuslik töötlemine ja avalike alade süstemaatiline jälgimine. Inspektsioon rõhutab, et see loetelu ei ole ammendav ja eestikeelses tõlkes on see ekslikult kinnine.

Miinimumsisu, mida dokument peab katma

1. Mis eesmärgil, mis alusel, milliseid andmeid ja milliste meetoditega töödeldakse.
2. Miks on kavandatud valikud eesmärgi saavutamiseks vajalikud ja kohased.
3. Ohtude analüüs koos tasemega, näiteks kõrge, keskmine, madal.
4. Milliseid tagatisi ja meetmeid ohtude vastu rakendatakse.

See on miinimum, mitte maksimum. Kui dokument on kaheksa lehekülge üldsõnalist teksti, mille keskel on kaks lauset ohtude kohta, ei aita see ei inspektorit ega sind.

Näide Eesti ettevõttest

Jaekaubanduskett tahab kasutusele võtta süsteemi, mis hindab kassas kliendi lojaalsust ja pakub isikupärastatud allahindlust. Töödeldakse ostuajalugu, asukohta ja külastussagedust 120 000 kliendi kohta.

Mõjuhinnang puutub siin kokku AI-ga, sest hinnang kliendile on automaatne. Dokumendis tuleb kirjeldada, millised tunnused mudelisse lähevad, milliseid ei lähe (näiteks terviseandmeid ei tohi), kui kaua tulemusi hoitakse ja kuidas klient saab teada, et teda hinnati. Kui süsteem mõjutab hinda, on tegu inimese jaoks olulise mõjuga ja inimjärelevalve peab olema kirjeldatud.

Sama loogika kehtib AI-projektide puhul laiemalt. Kui AI-funktsioon puutub isikuandmeid, vaata enne, mida ütleb mõiste isikuandmed, ja kui projekt on juba käimas, siis artikkel AI ja isikuandmed kirjeldab, mida logida ja mida mitte.

Töömaht

Dokument ei ole ühekordne. Kui töötlemisse tuleb uus andmeallikas, uus mudel või uus kasutusotstarve, tuleb hinnang uuesti üle vaadata. Inspektsioon ütleb selle välja: ebaoluliste muudatuste pärast uuendama ei pea, aga uute suurte ohtude korral küll.

Minu hinnang: kui süsteem on olemas ja protsess on kirjas, kulub mõjuhinnangule tavaliselt kaks kuni viis päeva. Kui dokumenti tehakse uue projekti kavandamise ajal, on see osa projekti tööst, mitte eraldi ülesanne. Kui küberturvalisuse seadus nõuab riskianalüüsi, soovitab inspektsioon ühitada küberturbe ohud mõjuhinnanguga.

Kui oled pärast mõjuhinnangut jõudnud järeldusele, et AI-funktsioon on kõrge riskiga süsteem, kehtivad sellele ka AI määrusest tulenevad nõuded. Millal see nii on, kirjeldab artikkel kõrge riskiga AI. Kui mõjuhinnang on osa AI-projektist, vaata AI konsultatsiooni.