Оценка воздействия на приватность (DPIA)

Оценка воздействия на приватность (DPIA)

DPIA — это документ, который показывает, какие риски для людей создаёт обработка данных и что с ними делают. Для исследований с чувствительными данными её часто требуют до начала сбора.

Разберём структуру и порядок.

Когда нужна

Когда обработка может создать высокий риск: медицинские данные, большие объёмы, наблюдение, уязвимые группы.

Когда используются новые технологии или необычные способы обработки.

Когда этого требует политика организации или комитет.

Кто участвует

Ответственный за данные, исследователь, ИТ-специалист и, при необходимости, юрист.

Полезно привлечь человека, который не участвует в проекте.

Решение фиксируется, а не обсуждается устно.

Описание обработки

Опишите, какие данные собираются и откуда.

Как хранятся и кто имеет доступ.

Кому передаются и как долго хранятся.

Необходимость и соразмерность

Объясните, зачем нужны данные.

Можно ли достичь цели с меньшим объёмом.

Соответствует ли обработка ожиданиям участников.

Риски для субъектов

Перечислите возможные последствия: раскрытие, ошибочная идентификация, дискриминация, репутационный ущерб.

Оцените вероятность и тяжесть.

Не ограничивайтесь техническими рисками.

Меры

Опишите, что снижает риск: минимизация, псевдонимизация, шифрование, ограничение доступа, обучение и проверка настроек после изменений.

Для каждой меры укажите ответственного.

Меры должны быть выполнимыми, а не общими словами.

Остаточный риск

После мер риск не исчезает полностью.

Опишите остаток и решение: принять, изменить обработку или отказаться.

Решение фиксируется и доводится до сведения команды.

Документирование

DPIA хранится вместе с документацией проекта.

Укажите дату и версию.

При изменении обработки её пересматривают.

Связь с этикой

DPIA не заменяет этическую экспертизу.

Но помогает ответить на вопросы комитета.

Документы должны быть согласованы.

Ошибки

• формальное заполнение;
• отсутствие оценки рисков;
• меры без ответственных;
• нет пересмотра;
• DPIA после начала сбора.

Практический пример

Планируется исследование с видеозаписями консультаций и данными о состоянии пациентов. Высокий риск очевиден: чувствительные данные, уязвимая группа, возможная идентификация. DPIA начинается с описания обработки: какие записи, где хранятся, кто смотрит, как долго.

Затем формулируются риски. Раскрытие записи может повлиять на репутацию и трудоустройство; ошибочная идентификация — привести к неверным выводам о человеке. Для каждого риска предлагаются меры: ограниченный доступ, шифрование, размытие лица, сокращение срока хранения.

Остаточный риск описывается честно. Если он остаётся высоким, проект может быть изменён: например, вместо видеозаписей используются текстовые транскрипты, а доступ к записям получает только один сотрудник. Решение фиксируется, а документ пересматривается при изменении обработки.

Как оценивать тяжесть последствий

Тяжесть зависит от того, что человек может потерять. Раскрытие диагноза может повлиять на работу и отношения, раскрытие адреса — на безопасность. Оценка должна учитывать не только сам факт утечки, но и её последствия.

Полезно описать сценарии: что произойдёт, если данные попадут к коллегам, к работодателю, в открытый доступ. Для каждого сценария оценивается вероятность и ущерб.

Оценка не обязана быть числовой. Простая шкала «низкий — средний — высокий» с пояснением работает лучше, чем точные баллы без обоснования.

Как учесть мнение участников

Иногда исследователи считают данные безобидными, а участники — нет. Например, сведения о психическом здоровье или репродуктивных планах воспринимаются иначе, чем предполагает команда.

Если есть возможность, обсудите риски с представителями сообщества или с людьми, похожими на участников. Их взгляд может изменить дизайн: например, отказаться от сбора некоторых полей или изменить способ публикации.

Результаты обсуждения фиксируются в DPIA. Это показывает, что оценка не формальна, а учитывает взгляд тех, чьи данные собираются. Такой подход снижает риск, что участники воспримут обработку как неожиданную и откажутся от участия в следующих этапах исследования.

Как оформить решение

Итог DPIA — не только список рисков, но и решение: продолжать, изменить обработку или отказаться. Решение подписывает ответственный за данные.

Если выбран вариант с изменениями, укажите, какие именно меры внедряются и к какому сроку. Без этого документ останется описанием, а не управленческим решением.

Пересмотр назначается заранее: например, через год или при изменении состава данных. Дата и условие пересмотра фиксируются в самом документе, чтобы он не устарел незаметно.

Как учитывать подрядчиков

Если обработка передана внешней организации, это отражается в DPIA. Укажите, какие данные передаются, зачем и какие меры применяет подрядчик.

Проверьте договор: он должен фиксировать обязанности по защите и порядок действий при инциденте. Обещаний в презентации недостаточно.

Если подрядчик использует свои подрядчиков, цепочка тоже описывается. Чем длиннее цепочка, тем сложнее контролировать доступ, и это влияет на оценку риска. Если подрядчик не может описать свои меры, это само по себе повод пересмотреть сотрудничество.

Чек-лист

• Необходимость обоснована.
• Обработка описана.
• Риски оценены.
• Меры определены.
• Остаточный риск описан.
• Документ сохранён.
• Пересмотр запланирован.

Частые вопросы

Нужна ли DPIA для небольших исследований?

Зависит от чувствительности данных и требований организации.

Кто утверждает документ?

Ответственный за защиту данных или уполномоченный орган.

Можно ли использовать шаблон?

Да, но его нужно адаптировать под исследование.