39. pants Novērtējums par ietekmi uz datu aizsardzību

1.   Ja apstrādes veids, jo īpaši jaunu tehnoloģiju lietojums, ņemot vērā apstrādes raksturu, apjomu, kontekstu un nolūkus, ļoti iespējams, varētu radīt augstu risku fizisku personu tiesībām un brīvībām, pārzinis pirms apstrādes veic novērtējumu par to, kā plānotās apstrādes darbības ietekmēs personas datu aizsardzību. Vienā novērtējumā var pievērsties tādu līdzīgu apstrādes darbību kopumam, kurām piemīt līdzīgi augsti riski.

2.   Pārzinis, veicot novērtējumu par ietekmi uz datu aizsardzību, lūdz padomu no datu aizsardzības speciālista.

3.   Šā panta 1. punktā minētais novērtējums par ietekmi uz datu aizsardzību jo īpaši ir vajadzīgs šādos gadījumos:

4.   Eiropas datu aizsardzības uzraudzītājs izstrādā un publisko sarakstu ar tiem apstrādes darbību veidiem, attiecībā uz kuriem ir jāveic novērtējums par ietekmi uz datu aizsardzību saskaņā ar 1. punktu.

5.   Eiropas datu aizsardzības uzraudzītājs var izstrādāt un publiskot arī sarakstu ar tiem apstrādes darbību veidiem, attiecībā uz kuriem nav vajadzīgs novērtējums par ietekmi uz datu aizsardzību.

6.   Pirms šā panta 4. un 5. punktā minēto sarakstu pieņemšanas Eiropas datu aizsardzības uzraudzītājs prasa, lai Eiropas Datu aizsardzības kolēģija, kas izveidota ar Regulas (ES) 2016/679 68. pantu, izskata šādus sarakstus saskaņā ar minētās regulas 70. panta 1. punkta e) apakšpunktu, ja tie attiecas uz apstrādes darbībām, ko pārzinis īsteno kopā ar vienu vai vairāk pārziņiem, kas nav Savienības iestādes un struktūras.

7.   Novērtējumā ietver vismaz:

8.   Attiecīgo apstrādātāju, kas nav Savienības iestāde vai struktūra, atbilstību Regulas (ES) 2016/679 40. pantā minētajam rīcības kodeksam pienācīgi ņem vērā, novērtējot šādu apstrādātāju veikto apstrādes darbību ietekmi, jo īpaši saistībā ar novērtējumu par ietekmi uz datu aizsardzību.

9.   Attiecīgā gadījumā pārzinis pieprasa datu subjektu vai viņu pārstāvju viedokli par plānoto apstrādi, neskarot sabiedrības interešu aizsardzību vai apstrādes darbību drošību.

10.   Ja saskaņā ar 5. panta 1. punkta a) vai b) apakšpunktu veiktās apstrādes juridiskais pamats ir noteikts tiesību aktā, kas pieņemts uz Līgumu pamata un kas reglamentē konkrēto apstrādes darbību vai minēto darbību kopumu, un novērtējums par ietekmi uz datu aizsardzību jau ir veikts kā daļa no vispārējā ietekmes novērtējuma pirms minētā tiesību akta pieņemšanas, šā panta 1.–6. punktu nepiemēro, izņemot, ja minētajā tiesību aktā ir noteikts citādi.

11.   Ja vajadzīgs, pārzinis veic pārskatu, lai novērtētu, vai apstrāde notiek saskaņā ar novērtējumu par ietekmi uz datu aizsardzību, vismaz tad, ja ir izmaiņas attiecībā uz apstrādes darbību radīto risku.