Posouzení rizik dodržování předpisů
Posouzení rizik dodržování předpisů je systematický proces, který organizace používají k identifikaci, vyhodnocení a stanovení priorit potenciálních právních, regulatorních a etických rizik spojených s jejich činnostmi, zejména v oblastech, jako je transparentnost a cílení politické reklamy. Pomáhá organizacím pochopit, kde by mohly nesplnit právní povinnosti podle nařízení, jako je TTPA (nařízení 2024/900), a jaké důsledky by takové nesplnění mohlo mít. Toto posouzení tvoří základ pro vývoj účinných systémů řízení dodržování předpisů a strategií zmírňování rizik.
Právní základ
Ačkoli nařízení 2024/900 výslovně nepožaduje posouzení rizik dodržování předpisů, článek 19 vyžaduje, aby příslušné orgány monitorovaly dodržování předpisů a přijímaly vhodná opatření. Organizace provádějící posouzení rizik se sladí s očekáváními řádné péče nařízení a požadavkem článku 8 odst. 1, podle kterého zadavatelé a poskytovatelé služeb politické reklamy „přijmou opatření nezbytná k dodržování povinností stanovených v tomto nařízení".
„Zadavatelé a poskytovatelé služeb politické reklamy přijmou opatření nezbytná k dodržování povinností stanovených v tomto nařízení."
— Článek 8 odst. 1, nařízení 2024/900
Širší rámec řízení dodržování předpisů uvedený v normách EU pro dodržování předpisů zdůrazňuje posouzení rizik jako klíčový prvek jakéhokoli programu dodržování předpisů.
Proč je to důležité
Posouzení rizik dodržování předpisů je důležité, protože regulace politické reklamy podle TTPA vytváří významné povinnosti pro více aktérů – zadavatele, vydavatele, poskytovatele a platformy. Bez pochopení, kde rizika spočívají, nemohou organizace účinně předcházet porušením, která by mohla vést k podstatným správním pokutám nebo poškození pověsti.
Pro poskytovatele služeb politické reklamy, zejména online platformy a společnosti zabývající se reklamními technologiemi, pomáhají posouzení rizik identifikovat zranitelnosti v oznámeních o transparentnosti, systémech vedení záznamů, postupech cílení a omezeních zadavatelů ze třetích zemí. Tato posouzení by měla zkoumat jak pravděpodobnost, tak potenciální dopad nedodržení předpisů v různých provozních oblastech.
Organizace, které provádějí důkladná posouzení rizik dodržování předpisů, mohou efektivně stanovit priority zdrojů a zaměřit se na rizikové oblasti, jako je zpracování osobních údajů pro účely cílení, ověřování zadavatelů v předvolebních obdobích a požadavky na označování. Tento proaktivní přístup snižuje pravděpodobnost vymáhacích opatření a prokazuje poctivou snahu dodržovat nařízení.
Klíčové body
- Identifikuje zranitelnosti: Zdůrazňuje konkrétní oblasti, kde provoz politické reklamy může nesplňovat požadavky TTPA na transparentnost, cílení nebo vedení záznamů
- Stanovuje priority zdrojů: Pomáhá organizacím zaměřit úsilí o dodržování předpisů na nejrizikovější činnosti, jako jsou techniky cílení využívající osobní údaje nebo procesy ověřování zadavatelů
- Informuje o opatřeních ke zmírnění rizik: Výsledky posouzení přímo informují o tom, které zásady, postupy a kontroly je třeba zavést nebo posílit
- Průběžný proces: Posouzení rizik by měla být prováděna pravidelně, zejména při změnách předpisů, zahájení nových služeb nebo blížících se volbách
- Mnohostranný rozsah: Měla by pokrývat provozní rizika (technická selhání), právní rizika (porušení předpisů) a reputační rizika (poškození důvěry veřejnosti)
- Zdokumentované důkazy: Formální posouzení rizik poskytuje důkaz řádné péče v případě, že regulační orgány vyšetřují postupy dodržování předpisů
Posouzení rizik dodržování předpisů versus posouzení vlivu na ochranu osobních údajů
Ačkoli obojí jsou systematické nástroje hodnocení rizik, slouží různým účelům a právním rámcům. Posouzení rizik dodržování předpisů obecně zkoumá schopnost organizace splnit všechny použitelné právní a regulatorní povinnosti, včetně povinností podle TTPA, práva hospodářské soutěže, pravidel ochrany spotřebitele a vnitřních zásad.
Posouzení vlivu na ochranu osobních údajů (DPIA), vyžadované podle článku 35 GDPR, konkrétně hodnotí rizika pro práva a svobody jednotlivců vyplývající ze zpracování osobních údajů, zejména vysoce rizikového zpracování. Podle TTPA techniky cílení a doručování reklam využívající osobní údaje spouštějí povinnosti podle GDPR, což znamená, že DPIA může být vyžadováno spolu se širším posouzením rizik dodržování předpisů.
V praxi organizace poskytující služby politické reklamy často potřebují obojí: DPIA k posouzení rizik ochrany údajů z technik cílení a posouzení rizik dodržování předpisů k vyhodnocení všech povinností podle TTPA včetně oznámení o transparentnosti, ověřování zadavatelů a vedení záznamů.