49. člen
(ocena učinka)
(1)
Kadar bi lahko kategorija obdelave, zlasti zaradi uporabe novih tehnologij ali ob upoštevanju narave, obsega, okoliščin oziroma namena obdelave, povzročila veliko tveganje za človekove pravice in temeljne svoboščine posameznikov, mora pristojni organ pred začetkom obdelave opraviti oceno učinka predvidenih dejanj obdelave na varstvo osebnih podatkov (v nadaljnjem besedilu: ocena učinka).
(2)
Oceno učinka je vedno treba opraviti glede:
1.
obdelav, ki vključujejo sistematično in obsežno vrednotenje osebnih podatkov s sredstvi avtomatizirane obdelave, vključno z oblikovanjem profilov, ki so potem podlaga za odločitve, ki imajo za posameznika pravne posledice ali nanj na podoben način znatno vplivajo;
2.
obdelav posebnih vrst osebnih podatkov ali osebnih podatkov v velikem obsegu;
3.
trajajočega obsežnega in sistematičnega nadzora javno dostopnega območja;
4.
povezovanja zbirk podatkov.
(3)
Ocene učinka ni treba opraviti za obdelavo, glede katere je bila ocena učinka izvedena že v postopku sprejemanja zakona, ki je podlaga za obdelavo, vendar le, če se okoliščine obdelave po izdelavi ocene učinka niso bistveno spremenile.
(4)
Ocena učinka obsega:
1.
splošni opis predvidenih dejanj obdelave;
2.
oceno tveganj za človekove pravice in temeljne svoboščine ter zakonite interese posameznikov, na katere se nanašajo osebni podatki, zlasti glede prepovedi diskriminacije iz 2. člena tega zakona;
3.
ukrepe, namenjene obvladovanju teh tveganj;
4.
zaščitne ukrepe, kot so notranji nadzori;
5.
ukrepe za zagotavljanje varnosti obdelave;
6.
mehanizme za zagotavljanje varstva osebnih podatkov in za izkazovanje skladnosti z zakonom, pri čemer se upoštevajo pravice in zakoniti interesi posameznikov, na katere se nanašajo osebni podatki, in tretjih oseb.
(5)
Pred uvedbo novega sistema za avtomatizirano obdelavo osebnih podatkov za namene iz prvega odstavka 1. člena tega zakona pristojni organ izdela oceno učinka glede ukrepov za zagotavljanje varnosti obdelave po 5. in 6. točki prejšnjega odstavka.