kedy som povinný vykonať hodnotenie vplyvu na ochranu údajov

Hodnotenie vplyvu na ochranu údajov je povinné pri spracovaní s vysokým rizikom

Hodnotenie vplyvu na ochranu údajov — posúdenie vplyvu na ochranu údajov — je povinné, keď je spracovanie údajov pravdepodobne spojené s vysokým rizikom pre práva a slobody osôb, ktorých údaje sa spracovávajú. Nejde o pevný zoznam činností, ktorý by bol všade presne rovnaký, ale o posúdenie, ktoré vychádza z povahy, rozsahu, kontextu a účelu spracovávania. Rozsiahle spracovanie citlivých údajov, štruktúrované a systematické sledovanie osôb na verejne prístupnom mieste a spracovanie vedúce k automatizovaným rozhodnutiam so značnými dôsledkami sú príklady, ktoré sa často uvádzajú ako situácie, v ktorých je vysoké riziko pravdepodobné.

Pre obvyklého pracovníka na živnosť alebo podnikateľa v malom a strednom podniku, ktorý vedú zákaznícke údaje, personálne údaje alebo účtovný systém, zvyčajne nie je povinné hodnotenie vplyvu na ochranu údajov — tieto spracovanie obvykle nie sú dostatočne rozsiahlé alebo systematické na to, aby sa považovali za vysoké riziko. Len čo sa pracuje napríklad so zdravotnými údajmi vo väčšom rozsahu, kamerový dohľad na verejných priestranstvách alebo profilácia majúca dôsledky pre jednotlivcov, obraz sa zmení. Kto si nie je istý, či spracovanie spadá do tejto kategórie, môže toto posúdenie najlepšie zdôvodniť z rovnakého prehľadu, ktorý sa tiež vytvára pre register spracovateľských činností : pri každom spracovaní je už zaznamenané, aký je účel, rozsah a ktoré údaje sú zahrnuté, a to je práve informácia, ktorú posúdenie rizika potrebuje.

Na čom sa to opiera: článok 6 GDPR a dohľadný orgán

Povinnosť vykonať hodnotenie vplyvu na ochranu údajov vyplýva z GDPR a je prepojená s právnym základom podľa článku 6 GDPR: len ak je už zistený právny základ pre spracovanie, je nasledujúca otázka relevantná, či to spracovanie prináša aj vysoké riziko. Dohľadné orgány v tom poskytujú ďalšie vysvetlenie, ktoré spracovanie sa v praxi považuje za vysoké riziko; v Holandsku to robí Autorita pre ochranu údajov s vlastnými zoznamami a vysvetleniami, zatiaľ čo dohľadný orgán v inom členskom štáte môže používať trochu iný zoznam — čo zostáva všade rovnaké, je norma z samej nariadenia, čo sa líši, je národné vyplnenie, ktoré spracovanie pod ňu spadajú. Kto si nie je istý, či jeho podnik vzhľadom na rozsah spracovávania potrebuje zvláštneho zodpovedného pracovníka pre ochranu údajov, nájde oporu v vysvetľovaní povinnosti mať zodpovedného pracovníka pre ochranu údajov, pretože tieto dve otázky — hodnotenie vplyvu na ochranu údajov a zodpovedný pracovník pre ochranu údajov — často súvisia s rovnakým rozsahom a posúdením rizika spracovávania.