+39 artikla Tietosuojaa koskeva vaikutustenarviointi
---+39 artikla 1
---+39 artikla 2
---+39 artikla 3
---+39 artikla 4
---+39 artikla 5
---+39 artikla 6
---+39 artikla 7
---+39 artikla 8
---+39 artikla 9
---+39 artikla 10
---+39 artikla 11

39 artikla Tietosuojaa koskeva vaikutustenarviointi

1. Yleiskatsaus

,
39 artikla 1

1.   Jos tietyntyyppinen käsittely etenkin uutta teknologiaa käytettäessä todennäköisesti aiheuttaa käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset huomioon ottaen luonnollisen henkilön oikeuksien ja vapauksien kannalta korkean riskin, rekisterinpitäjän on ennen käsittelyä toteutettava arviointi suunniteltujen käsittelytoimien vaikutuksista henkilötietojen suojalle. Yhtä arviota voidaan käyttää samankaltaisiin vastaavia korkeita riskejä aiheuttaviin käsittelytoimiin.
39 artikla 2

2.   Tietosuojaa koskevaa vaikutustenarviointia tehdessään rekisterinpitäjän on pyydettävä neuvoja tietosuojavastaavalta.
39 artikla 3

3.   Edellä 1 kohdassa tarkoitettu tietosuojaa koskeva vaikutustenarviointi vaaditaan erityisesti seuraavista:

a)

luonnollisten henkilöiden henkilökohtaisten ominaisuuksien järjestelmällinen ja kattava arviointi, joka perustuu automaattiseen käsittelyyn, kuten profilointiin, ja johtaa päätöksiin, joilla on luonnollista henkilöä koskevia oikeusvaikutuksia tai jotka vaikuttavat luonnolliseen henkilöön vastaavalla tavalla merkittävästi;

b)

laajamittainen käsittely, joka kohdistuu 10 artiklassa tarkoitettuihin erityisiin henkilötietoryhmiin tai 11 artiklassa tarkoitettuihin rikostuomioita tai rikoksia koskeviin tietoihin; tai

c)

yleisölle avoimen alueen järjestelmällinen valvonta laajamittaisesti.
39 artikla 4

4.   Euroopan tietosuojavaltuutettu laatii ja julkaisee luettelon käsittelytoimien tyypeistä, joiden yhteydessä vaaditaan 1 kohdan nojalla tietosuojaa koskeva vaikutustenarviointi.
39 artikla 5

5.   Euroopan tietosuojavaltuutettu voi myös laatia ja julkaista luettelon käsittelytoimien tyypeistä, joiden osalta ei vaadita tietosuojaa koskevaa vaikutustenarviointia.
39 artikla 6

6.   Ennen tämän artiklan 4 ja 5 kohdassa tarkoitettujen luetteloiden hyväksymistä Euroopan tietosuojavaltuutettu pyytää asetuksen (EU) 2016/679 68 artiklalla perustettua Euroopan tietosuojaneuvostoa tarkastelemaan tällaisia luetteloita kyseisen asetuksen 70 artiklan 1 kohdan e alakohdan mukaisesti, jos niissä viitataan yhden tai useamman muun rekisterinpitäjän kuin unionin toimielimen tai elimen kanssa yhdessä toimivan rekisterinpitäjän suorittamiin käsittelytoimiin.
39 artikla 7

7.   Arvioinnin on sisällettävä vähintään

a)

järjestelmällinen kuvaus suunnitelluista käsittelytoimista ja käsittelyn tarkoituksista;

b)

arvio käsittelytoimien tarpeellisuudesta ja oikeasuhteisuudesta tarkoituksiin nähden;

c)

arvio 1 kohdassa tarkoitetuista rekisteröityjen oikeuksia ja vapauksia koskevista riskeistä; ja

d)

suunnitellut toimenpiteet riskeihin puuttumiseksi, mukaan lukien suojatoimet, turvatoimenpiteet ja mekanismit, joilla varmistetaan henkilötietojen suoja ja osoitetaan, että tätä asetusta on noudatettu, ottaen huomioon rekisteröityjen ja muiden asianomaisten oikeudet ja oikeutetut edut.
39 artikla 8

8.   Se, että asianomaiset muut henkilötietojen käsittelijät kuin unionin toimielimet ja elimet noudattavat asetuksen (EU) 2016/679 40 artiklassa tarkoitettuja hyväksyttyjä käytännesääntöjä, on otettava asianmukaisesti huomioon arvioitaessa kyseisten henkilötietojen käsittelijöiden suorittamien käsittelytoimien vaikutusta erityisesti tietosuojaa koskevassa vaikutustenarvioinnissa.
39 artikla 9

9.   Rekisterinpitäjän on tapauksen mukaan pyydettävä rekisteröityjen tai näiden edustajien näkemyksiä suunnitelluista käsittelytoimista ilman, että tämä saa vaikuttaa yleisten etujen suojeluun tai käsittelytoimien turvallisuuteen.
39 artikla 10

10.   Jos 5 artiklan 1 kohdan a tai b alakohdan mukaisen käsittelyn oikeusperustana on perussopimusten perusteella annettu säädös, jolla säännellään siihen liittyvää käsittelytoimea tai käsittelytoimia, ja tietosuojaa koskeva vaikutustenarviointi on jo tehty yleisen vaikutustenarvioinnin osana ennen kyseisen säädöksen antamista, tämän artiklan 1–6 kohtaa ei sovelleta, ellei kyseisessä säädöksessä toisin säädetä.
39 artikla 11

11.   Rekisterinpitäjän on tehtävä tarvittaessa uudelleentarkastelu arvioidakseen, tapahtuuko käsittely tietosuojaa koskevan vaikutustenarvioinnin mukaisesti, ainakin jos käsittelytoimien sisältämä riski muuttuu.

1.1 Viittaukset

1.2 Tunnistetut vaatimukset

1.3 Liittyvät standardit

2. Tunnistetut vaatimukset

Vaatimukset

3. Liittyvät standardit

Standardit