kdy jsem povinen provést DPIA

DPIA je povinná při zpracování s vysokým rizikem

DPIA — posouzení vlivu na ochranu údajů — je povinná, pokud zpracování údajů pravděpodobně představuje vysoké riziko pro práva a svobody osob, jejichž údaje jsou zpracovávány. Nejde o pevný seznam aktivit, který by byl všude přesně stejný, ale o odhad vycházející z povahy, rozsahu, kontextu a účelu zpracování. Rozsáhlé zpracování citlivých údajů, strukturované a systematické sledování osob na místě přístupném veřejnosti a zpracování vedoucí k automatizovaným rozhodnutím se značnými důsledky jsou příklady, které se často uvádějí jako situace, v nichž je vysoké riziko pravděpodobné.

Běžného OSVČ nebo malého či středního podniku, který vede údaje o zákaznících, údaje o zaměstnancích nebo účetní systém, nemá zpravidla uloženou povinnou DPIA — ta zpracování obvykle nejsou dostatečně rozsáhlá nebo systematická, aby byla považována za vysoké riziko. Jakmile se pracuje například se zdravotnickými údaji ve větším rozsahu, videodohledem veřejných prostor nebo profilováním mající důsledky pro jednotlivce, situace se změní. Kdo si není jistý, zda zpracování spadá do té kategorie, může své posouzení nejlépe podpořit na základě stejného přehledu, který se také vytváří pro registr zpracování údajů : pro každé zpracování je pak již zaznamenáno, jaký je účel, rozsah a kterých údajů se týká, a to je přesně informace, kterou potřebuje posouzení rizika.

Na čem je to založeno: článek 6 GDPR a dohledový orgán

Povinnost provést DPIA vyplývá z GDPR a je vázána na právní základ zpracování podle článku 6 GDPR: pouze pokud je již stanoven právní základ pro zpracování, je následující otázka relevantní — zda toto zpracování také představuje vysoké riziko. Při tom dohledové orgány poskytují další pokyny o tom, která zpracování se v praxi považují za vysoké riziko; v Nizozemsku to činí Úřad na ochranu osobních údajů vlastními seznamy a vysvětleními, zatímco dohledový orgán v jiném členském státě může používat mírně odlišný seznam — co zůstává všude stejné, je norma ze samotného nařízení, co se liší, je národní výklad toho, která zpracování do ní spadají. Kdo si není jistý, zda jeho podnik vzhledem k rozsahu zpracování potřebuje zvláštního představitele pro ochranu údajů, najde vodítko v vysvětlení povinnosti představitele pro ochranu údajů, neboť obě tyto otázky — DPIA a představitel pro ochranu údajů — jsou často spojeny se stejným rozsahem a posouzením rizika zpracování.