Mikä DPIA on ja miksi se on olemassa

Tietosuojaa koskeva vaikutustenarviointi on määritelty GDPR:n 35 artiklassa. Se on dokumentoitu analyysi, joka rekisterinpitäjän on suoritettava ennen sellaisen käsittelytoiminnon käynnistämistä, joka todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille. DPIA pakottaa rekisterinpitäjän kuvaamaan käsittelyn, arvioimaan sen tarpeellisuuden ja oikeasuhteisuuden, tunnistamaan riskit ja dokumentoimaan niiden lieventämiseksi toteutetut toimenpiteet. Jos jäljellä oleva riski pysyy korkeana, rekisterinpitäjän on kuultava valvontaviranomaista ennen käyttöönottoa.

Julkaisijoille DPIA ei ole kertaluonteinen oikeudellinen artefakti. Se on keskeinen asiakirja, jota viranomainen pyytää tutkiessaan eväste- tai seurantavalitusta, ja se on asiakirja, joka määrittää, voiko julkaisija osoittaa vastuullisuuden 5(2) artiklan mukaisesti. Ilman sitä todistustaakka siirtyy ratkaisevasti sinua vastaan.

Milloin DPIA on pakollinen evästeiden ja suostumuksen virroille

35(3) artikla luettelee kolme nimenomaista DPIA-käynnistintä. 29 artiklan mukaisen työryhmän ohjeet (nyt EDPB:n hyväksymät) lisäävät yhdeksän ohjeellisen kriteerin luettelon. Käsittelytoiminto, joka täyttää minkä tahansa kaksi näistä kriteereistä, oletetaan vaativan DPIA:ta. Evästeiden ja mainosteknologian virroille asiaankuuluvimmat kriteerit ovat:

• Järjestelmällinen ja laaja arviointi — mukaan lukien profilointi mainontaa ja sisällön personointia varten.
• Laajamittainen käsittely — mitattuna tietomäärällä, rekisteröityjen lukumäärällä, maantieteellisellä laajuudella ja kestolla. Julkaisijasivustot, joilla on seitsennumeroinen kuukausittainen käyttäjämäärä, täyttävät lähes aina vaatimukset.
• Teknologian innovatiivinen käyttö — kattaa sormenjäljen ottamisen, laitteiden välisen tunnistamisen, federoitu oppimisen, huomion mittaamisen, tekoälyyn perustuvan käyttäytymisen päättelyn.
• Sijainnin tai käyttäytymisen seuranta — jonka käyttäytymispohjainen mainonta ja uudelleenkohdentaminen kattavat suoraan.
• Tietojoukkojen yhdistäminen tai täsmäyttäminen — mukaan lukien palvelinpuolen rikastaminen, identiteettigraafit, tietojen puhdistushuoneet, asiakastietoalustan stitching.

Tyypillinen keskitason julkaisijasivusto, joka käyttää käyttäytymispohjaista mainontaa ja ajaa enemmän kuin muutaman kolmannen osapuolen pikselin, täyttää samanaikaisesti vähintään kolme näistä kriteereistä. Oletus, että DPIA vaaditaan, on käytännössä lähes varmuus. Useat kansalliset tietosuojaviranomaiset ovat julkaisseet omat pakolliset DPIA-luettelonsa; Italian Garante, Ranskan CNIL ja Saksan DSK ovat kaikki nimenneet ohjelmallisen mainonnan ja sivustojen välisen profiloinnin DPIA:n oletuskäynnistimiksi.

Mitä DPIA-asiakirjan on sisällettävä

35(7) artikla asettaa neljä pakollista sisältöä. DPIA, josta puuttuu jokin niistä, käsitellään viranomaisten toimesta kuin sitä ei olisi lainkaan suoritettu.

Järjestelmällinen kuvaus käsittelystä

Tämä ei ole yhden kappaleen yhteenveto. Kuvauksen on katettava kaikki henkilötietoluokat, kaikki tarkoitukset, kaikki vastaanottajat, kaikki säilytysajat ja kaikki rajat ylittävät siirrot. Mainosteknologian virrolle tämä tarkoittaa jokaisen TCF-merkkijonon toimittajan luettelemista, tiedot, jotka kukin saa, ja kunkin osalta vaaditun oikeusperustan. Julkaisijat, jotka kopioivat TCF v2.2:n toimittajaluettelon suoraan DPIA:n liitteeseen, ovat tuottaneet toimivia asiakirjoja; ne, jotka tiivistävät sen kahteen lauseeseen, eivät ole.

Tarpeellisuuden ja oikeasuhteisuuden arviointi

Tarpeellisuus kysyy, voidaanko sama tarkoitus saavuttaa vähemmällä datalla tai henkilöttömällä datalla. Käyttäytymispohjaiselle mainontavirralle tämä tarkoittaa rehellistä pohtimista siitä, palvelisiko kontekstuaalinen mainonta samaa tarkoitusta. EDPB Opinion 28/2024 on selkeä siinä, että DPIA ei voi hylätä kontekstuaalista mainontaa yhdellä rivillä — rekisterinpitäjän on osoitettava, että vaihtoehto harkittiin, ja selitettävä miksi se hylättiin.

Rekisteröityihin kohdistuvien riskien arviointi

Riskianalyysin on otettava huomioon laiton pääsy, luvaton luovuttaminen, muuttaminen, menetys ja profiloinnin laajemmat yhteiskunnalliset riskit — hillitsevät vaikutukset, syrjintä, lukittuminen. Jokaisen tunnistetun riskin osalta arvioinnin on ilmoitettava todennäköisyys, vakavuus ja jäljellä oleva taso lievennysten jälkeen.

Riskeihin puuttumiseksi toteutetut toimenpiteet

Tässä kohtaa suostumustenhallinnan alusta esiintyy DPIA:ssa. Yksityiskohtainen suostumustenkeruu, toimittajakohtainen opt-out, helppo peruuttaminen, säilytysrajoitukset, salaus siirron aikana ja levossa, sopimusperusteiset takeet tietojenkäsittelijöille — jokainen toimenpide on sidottava tunnistettuun erityiseen riskiin. Yleinen toteamus, että julkaisija käyttää CMP:tä, ei ole toimenpide.

Tietosuojavastaavan rooli

35(2) artikla edellyttää, että rekisterinpitäjä pyytää tietosuojavastaavan neuvoa suorittaessaan DPIA:ta. Nimetylle tietosuojavastaavalle julkaisijoille tämä on suoraviivaista. Pienemmille julkaisijoille ilman sellaista DPIA voidaan silti suorittaa, mutta se on tehtävä dokumentoidulla ulkoisella neuvolla — ulkoisella neuvonantajalla, alan konsultilla tai CMP-toimittajan vaatimustenmukaisuustiimillä. Tietosuojavastaavan rooli on haastaa rekisterinpitäjän tarpeellisuusanalyysi, ei leimata sitä.

Milloin ennakkokuuleminen vaaditaan

36 artikla vaatii ennakkokuulemista valvontaviranomaisen kanssa, kun DPIA osoittaa, että käsittely johtaisi korkeaan riskiin, jota rekisterinpitäjä ei pysty lieventämään. Käytännössä tämä on harvinaista evästeiden ja suostumuksen virroille — useimmat riskit voidaan lieventää yksityiskohtaisella suostumuksella, toimittajien vähentämisellä, säilytysrajoituksilla ja sopimusperusteisilla takeilla. Mutta se ei ole nolla. Kaksi tapausta, jotka ovat käynnistäneet ennakkokuulemisen vuosina 2024 ja 2025: sormenjälkipohjainen tunniste, joka otettiin käyttöön ilman TCF-integraatiota, ja laitteiden välinen identiteettigraffi, joka yhdisti ensimmäisen osapuolen tiedot kolmansien osapuolten tietovälittäjiin. Julkaisijoiden, jotka tutkivat kumpaakaan mallia, tulisi suunnitella kuudesta kahteentoista viikon kuulemisaikataulu.

Miten viranomaiset käyttävät DPIA:ta tutkimuksissa

DPIA on ainoa asiakirja, jota viranomainen pyytää ensin, kun evästevaltitus saavuttaa virallisen tutkinnan vaiheen. Italian Garante, Ranskan CNIL, Belgian APD ja Baijerin BayLDA avaavat kaikki menettelytiedostonsa pyytämällä DPIA:ta, joka kattaa kyseessä olevan toiminnan. Viimeaikaisista päätöksistä nousee esiin kolme mallia:

Myöhässä tuotetut DPIA:t saavat suuren alennuksen

DPIA:ta, joka on päivätty viranomaisen pyynnön jälkeen, ei käsitellä ennakkokäynnistysarvioinnin todisteena. Useat vuoden 2025 päätökset ovat nimenomaisesti todenneet, että asiakirja luotiin jälkikäteen, ja painottaneet sitä vastaavasti. DPIA:n on edeltäettävä käsittelyn käynnistämistä, ja asiakirjan metatiedot tai versiohistoria tulisi tehdä tämä selväksi.

Yleiset DPIA:t käsitellään puuttuvina

CMP-toimittajan portaalista kopioitu mallipohjainen DPIA ilman sivustokohtaista analyysia hylätään yhä useammin. Vuoden 2025 Garante-päätös italialaista julkaisijaryhmää vastaan nimesi kuusi yhdeksästä soveltamisalaan kuuluvasta sivustosta ja totesi, että yksi kaikki ne kattava jaettu DPIA ei täytä 35 artiklaa.

Lieventämistoimenpiteiden on vastattava todella käyttöönottoa

Jos DPIA kuvaa 60 päivän evästeiden säilytystä, mutta käyttöönotetut evästeet käyttävät 24 kuukauden elinikää, viranomainen pitää DPIA:ta epätarkkana. Käyttöönottokonfiguraation neljännesvuosittainen auditointi suhteessa DPIA-kuvaukseen ei ole enää vapaaehtoista.

Yhteenveto

Useimmille julkaisijoille käytännön vastaus on sama: DPIA vaaditaan, se tulisi luonnostella ennen uuden seurannan käynnistämistä, ja sitä tulisi tarkistaa neljännesvuosittain käyttöönottokonfiguraatiota vasten. Asiakirjan ei tarvitse olla pitkä, mutta sen on oltava sivustokohtainen, kirjoitettu ennen käynnistystä, tietosuojavastaavan tai dokumentoidun ulkoisen neuvonantajan hyväksymä ja linjattu sen kanssa, mikä todella on tuotannossa käynnissä. Julkaisijat, jotka saavat nämä neljä kohtaa oikein, muuttavat DPIA:n vaatimustenmukaisuustaakasta vahvimmaksi puolustuksekseen, kun viranomainen tulee kysymään.