Оценка при въздействието върху защита на личните данни

ОЦЕНКА НА ВЪЗДЕЙСТВИЕТО ВЪРХУ ЗАЩИТАТА НА ЛИЧНИ ДАННИ (DPIA)
съгласно чл. 35 от Регламент (ЕС) 2016/679 ОРЗД (GDPR)

I. ВЪВЕДЕНИЕ И КОНТЕКСТ НА ОБРАБОТВАНЕТО

Настоящата Оценка на въздействието върху защитата на лични данни (Data Protection Impact Assessment – DPIA) е изготвена от „........................“, ЕИК ................, със седалище и адрес на управление: ................................................ (наричано по-долу „bky solutions“ или „Администраторът“).

Оценката се изготвя в съответствие с изискванията на чл. 35 от Регламент (ЕС) 2016/679 (ОРЗД), Закона за защита на личните данни и релевантните насоки на Европейския комитет по защита на данните (EDPB), включително WP248 rev.01.

1.1. Основната цел на настоящата DPIA е:

да идентифицира и оцени рисковете за правата и свободите на субектите на данни; 
да анализира необходимостта и пропорционалността на обработването; 
да определи и документира мерките за минимизиране на тези рискове; 
да гарантира съответствие с принципите на ОРЗД, включително „privacy by design“ и „privacy by default“. 
Оценката обхваща всички дейности по обработване на лични данни, извършвани чрез:
2.1.уебсайтове; 
2.2.мобилни приложения; 
2.3.SaaS платформи; 
2.4.облачна инфраструктура; 
2.5.интеграции с трети страни. 
Особено внимание е отделено на хипотезите, при които bky solutions действа като обработващ лични данни, когато клиентите му (потребители на платформата) обработват данни на свои крайни потребители.

1.3. Рискът се оценява по формулата:

Риск = Вероятност × Въздействие Риск  = Вероятност \ times Въздействие Риск= Вероятност × Въздействие 

Използва се тристепенна скала:

2.1.1 – Ниско 
2.2.2 – Средно 
2.3.3 – Високо 
Оценката включва:

идентифициране на заплахи; 
анализ на уязвимости; 
оценка на вероятност и въздействие; 
определяне на остатъчен риск. 
II. ПОДРОБНО ОПИСАНИЕ НА ОПЕРАЦИИТЕ ПО ОБРАБОТВАНЕ

2.1. Жизнен цикъл на данните. Личните данни преминават през следните етапи:

2.1.1. Събиране 

директно: регистрация, формуляри, кореспонденция, кандидатстване за работа; 
автоматично: логове, бисквитки, аналитични инструменти; 
чрез трети лица: социални мрежи, доставчици на услуги. 
Предаване (трансфер) 
чрез криптирани канали (TLS); 
към сървъри в ЕИП или при наличие на гаранции извън него. 
Съхранение 
в бази данни с ограничен достъп; 
в облачна инфраструктура с високо ниво на сигурност. 
Обработване 
управление на акаунти; 
анализ на поведение; 
поддръжка и сигурност; 
ограничено профилиране. 
2.5.Съхранение и архивиране 
съгласно срокове, определени в Политиката; 
резервни копия. 
2.5.Заличаване/анонимизация 
автоматизирано или ръчно; 
след изтичане на срокове или при упражняване на права. 
2.2. Категории субекти на данни. Съгласно Политиката, обработването обхваща:

посетители на уебсайтове; 
регистрирани потребители; 
клиенти; 
лица, комуникиращи с дружеството; 
кандидати за работа; 
крайни потребители на клиенти на bky solutions. 
2.3. Категории лични данни. Обработваните данни включват:

2.3.1. Данни, предоставени от субекта

име, фамилия; 
имейл; 
телефон; 
адрес; 
платежни данни; 
кореспонденция. 
2.3.2. Технически данни

IP адрес; 
устройство; 
браузър; 
поведенчески данни; 
бисквитки. 
2.3.3. Данни от трети лица

социални мрежи; 
доставчици на сигурност; 
маркетингови партньори. 
2.3.4. Данни на кандидати

CV; 
образование; 
опит. 
2.3.5. Данни на крайни потребители (B2B модел)

обработвани от клиенти, при което bky solutions е обработващ. 
2.4. Мащаб на обработването. Обработването се извършва в потенциално голям мащаб, включително:

множество потребители; 
постоянен поток от данни; 
автоматизирани процеси; 
трансгранични операции. 
2.5. Профилиране и автоматизирани решения. Извършва се ограничено профилиране, което:

не поражда правни последици; 
служи за подобряване на услуги; 
включва анализ на поведение и персонализация.
III. ПРАВНИ ОСНОВАНИЯ И ЦЕЛИ НА ОБРАБОТВАНЕТО

3.1. Правни основания. Обработването се основава на:

съгласие; 
изпълнение на договор; 
законово задължение; 
легитимен интерес; 
защита на жизненоважни интереси (ограничено). 
При легитимен интерес се прилага balancing test.

3.2. Цели на обработването

предоставяне на услуги; 
управление на акаунти; 
плащания; 
поддръжка; 
сигурност; 
маркетинг (със съгласие); 
подбор на персонал; 
спазване на законови задължения. 
IV. НЕОБХОДИМОСТ И ПРОПОРЦИОНАЛНОСТ

4.1. Необходимост. Обработването е необходимо за:

идентификация; 
автентикация; 
персонализация; 
сигурност. 
4.2. Пропорционалност

Гарантира се чрез:

минимизация на данните; 
ограничен достъп; 
срокове за съхранение; 
разделение на роли. 
4.3. Срокове за съхранение

Съгласно Политиката:

договорни данни – до изтичане на давност; 
счетоводни – съгласно закон; 
маркетинг – до оттегляне; 
кандидати – до приключване; 
бисквитки – според политика. 
V. ОЦЕНКА НА РИСКОВЕТЕ

Риск
Вероятност
Въздействие
Ниво
Описание
Неоторизиран достъп
2
3
6
Кибератаки
Вътрешно изтичане
1
3
3
Човешки фактор
Загуба на данни
2
2
4
Технически проблем
Неправомерно профилиране
1
2
2
Алгоритмична грешка
Международен трансфер
2
2
4
Трети държави
Нарушение на права
2
2
4
Лошо управление на заявки



VI. МЕРКИ ЗА НАМАЛЯВАНЕ НА РИСКА (TOMs)

6.1. Технически мерки

криптиране (AES-256, TLS); 
псевдонимизация; 
MFA; 
логване и мониторинг; 
backup; 
защита срещу атаки. 



6.2. Организационни мерки

политики; 
обучения; 
контрол на достъпа; 
процедури за инциденти; 
одити. 
6.3. Правни мерки

договори по чл. 28 ОРЗД; 
SCC; 
TIA; 
механизми за съгласие. 



VII. МЕЖДУНАРОДНИ ТРАНСФЕРИ

7.1. Прилагат се:

SCC; 
криптиране; 
оценка на риска; 
ограничаване на достъпа. 
VIII. ПРАВА НА СУБЕКТИТЕ

8.1. Осигурени са:

достъп; 
коригиране; 
изтриване; 
ограничаване; 
преносимост; 
възражение. 
8.2. Срок за отговор: до 1 месец.

IX. ОСТАТЪЧЕН РИСК

9.1. След мерките рискът е:
нисък до умерен, приемлив съгласно ОРЗД.

9.2. Не се изисква предварителна консултация с КЗЛД.

X. ЗАКЛЮЧЕНИЕ

10.1. Обработването:

е законосъобразно; 
пропорционално; 
защитено; 
съответства на ОРЗД. 
10.2. bky solutions прилага:

високо ниво на сигурност; 
контрол; 
непрекъснато подобрение. 
XI. ПРЕГЛЕД И АКТУАЛИЗАЦИЯ

11.1. DPIA подлежи на актуализация при:

нови технологии; 
промени в дейността; 
законодателни изменения; 
нови рискове.