DPIA, plným textem posouzení vlivu na ochranu údajů, je analýza rizik, kterou provedete předem, pokud je zpracování osobních údajů pravděpodobně spojeno s vysokým rizikem pro osoby, jejichž údaje se zpracovávají. GDPR tuto analýzu nepožaduje u každého zpracování, ale konkrétně u zpracování, která mohou mít díky své povaze, rozsahu, kontextu nebo účelu velký dopad — představte si rozsáhlé monitorování, systematické profilování nebo zpracování speciálních kategorií údajů, jako jsou údaje o zdraví ve velkém měřítku.
Zda musí vaše podnik provést DPIA, závisí na tom, co přesně s údaji děláte, ne na velikosti vašeho podniku. Samostatný podnikatel, který v malém měřítku instaluje kamery v obchodě, zpravidla mimo tuto povinnost padá; podnik, který pomocí AI softwaru v rozsáhlém měřítku analyzuje chování zákazníků nebo prověřuje žadatele o zaměstnání, se s povinnou DPIA setkává dříve. Úřad na ochranu osobních údajů publikuje seznam zpracování, pro která je tato analýza podle něj vždy nezbytná; tento seznam je dobrým výchozím bodem pro určení, zda vaše situace do něj spadá.
Kdy je to relevantní pro malé a střední podniky
Většina malých a středních podniků se formální DPIA vyhne prostě proto, že jejich zpracování nemá rozsah či riziko, které GDPR má na mysli. Přesto existují situace, kdy se otázka najednou stává relevantní: zavádění kamerového dohledu s rozpoznáním obličeje, používání nového nástroje AI, který automaticky rozhoduje o zákaznících nebo zaměstnancích, nebo rozšíření stávajícího softwaru, prostřednictvím kterého najednou shromažďujete údaje v mnohem větším měřítku než dříve.
Není tedy tak moc sektor, který určuje, zda je DPIA nezbytná, ale spíše změna v tom, co děláte. Oddělení lidských zdrojů, které přejde na nástroj pro nábor s automatickým prověřováním CV, by se mělo ptát, zda tento přechod splňuje kritéria. Totéž platí pro správce kanceláře, který zvažuje nasazení nového nástroje SaaS, který sleduje chování návštěvníků webu a kombinuje jej s jinými zdroji dat.
Co by měla DPIA obsahovat
DPIA systematicky popisuje, co se děje: které údaje se zpracovávají, za jakým účelem, na základě jakého právního důvodu a kdo má přístup k údajům. Následně analýza mapuje rizika pro subjekty údajů — co se může pokazit a jak je pravděpodobnost a dopad tohoto rizika velké. Poslední část je opatření: které technické nebo organizační kroky se podnikají ke snížení těchto rizik a zůstává-li po těchto opatřeních riziko, které nelze odstranit.
Tento poslední bod je důležitý: pokud DPIA ukáže, že existuje vysoké riziko i po opatřeních, GDPR předpisuje, že to předložíte dozorčímu úřadu předtím, než zpracování zahájíte. Jedná se o výjimku, ne o standardní krok, ale je to důvod, proč DPIA není něco, co byste vyplnili zpětně.
Vztah k registru zpracování
DPIA nestojí odděleně od zbytku vaší administrativy v oblasti ochrany údajů. Zpracování, pro které analýzu provádíte, by mělo mít své místo také v znalostní bázi, kde jsou rizika podle zpracování zpracována, aby bylo jasné, která zpracování potřebují zvláštní pozornost a která ne. Kdo má registr zpracování v pořádku, často vidí sám, která zpracování mají z hlediska rozsahu nebo citlivosti blíže k DPIA prahu než jiná.
Je to také vhodný čas na to, abyste zkontrolovali dohody se zpracovateli, které patří k tomuto zpracování: externí strana, která zpracovává údaje, pro které zvažujete DPIA, je často také stranou, kde vznikají největší rizika, když se něco pokazí. Stejně jako v případě možného porušení ochrany údajů je užitečné vědět předem, kde stojíte, místo aby jste se museli dodatečně zjišťovat, co přesně bylo domluveno.
Co když si nejste jisti
Hranice mezi "pravděpodobně není potřebná DPIA" a "lépe nejprve analyzovat" není vždy jasná a Nařízení záměrně zde ponechává prostor pro vlastní posouzení. Pokud si nejste jisti, doporučuje se konzultovat si pokyny Úřadu pro ochranu osobních údajů nebo se zeptat právníka na vaši konkrétní situaci. Tato stránka popisuje obecný postup podle nařízení; nenahrazuje tento typ poradenství.
Chcete si nejprve udělat představu o tom, jak se vaše vlastní zpracování řadí k odhadu rizika, který používá Nařízení? Udělejte si bezplatný rychlý přehled nebo si prohlédněte často kladené otázky o registru a jeho monitorování abyste viděli, který krok je pro vaši společnost nejvhodnější.