kiedy jestem zobowiązany do przeprowadzenia oceny skutków

DPIA jest obowiązkowa w przypadku przetwarzania wiążącego się z wysokim ryzykiem

DPIA — ocena skutków dla ochrony danych — jest obowiązkowa, gdy przetwarzanie prawdopodobnie stwarza wysokie ryzyko dla praw i wolności osób, których dane są przetwarzane. Nie jest to ustalona lista działań, która wygląda dokładnie tak samo wszędzie, ale oszacowanie, które zaczyna się od charakteru, zakresu, kontekstu i celu przetwarzania. Przetwarzanie na dużą skalę wrażliwych danych, strukturowane i systematyczne monitorowanie ludzi w miejscu publicznie dostępnym oraz przetwarzania prowadzące do zautomatyzowanych decyzji mające znaczące skutki to przykłady, które często są przytaczane jako sytuacje, w których wysokie ryzyko jest uzasadnione.

Dla zwykłej działalności na własny rachunek lub małego i średniego przedsiębiorstwa, które prowadzi dane klientów, dane pracowników lub system księgowy, obowiązkowa DPIA zwykle nie jest uzasadniona — takie przetwarzania zwykle nie są na tyle dużą skalą lub systematyczne, aby być uważane za wysokie ryzyko. Gdy jednak pracuje się z na przykład danymi dotyczącymi zdrowia na większą skalę, monitorowaniem kamer w przestrzeniach publicznych lub profilowaniem mającym konsekwencje dla jednostek, sytuacja się zmienia. Ci, którzy zastanawiają się, czy przetwarzanie wchodzi w tę kategorię, mogą najlepiej uzasadnić to oszacowanie na podstawie tego samego przeglądu, który buduje się również dla rejestru przetwarzania jest budowany: dla każdego przetwarzania zostały już określone cel, zakres i zaangażowane dane, a to jest dokładnie informacja, którą wymaga oszacowanie ryzyka.

Na czym to opiera się: artykuł 6 RODO i organ nadzoru

Obowiązek przeprowadzenia DPIA wynika z RODO i jest powiązany z podstawą prawną przetwarzania w artykule 6 RODO: tylko jeśli została już ustalona prawidłowa podstawa prawna do przetwarzania, pytanie następne jest istotne, czy to przetwarzanie również wiąże się z wysokim ryzykiem. Organy nadzoru udzielają dalszych wyjaśnień, które przetwarzania w praktyce są uważane za wysokie ryzyko; w Holandii Urząd Ochrony Danych Osobowych robi to za pomocą własnych list i wyjaśnień, podczas gdy organ nadzoru w innym państwie członkowskim może stosować nieco inną listę — co pozostaje wszędzie takie samo, to norma z samej rozporządzenia, co się różni, to krajowe wdrażanie, które przetwarzania pod nią należą. Ci, którzy zastanawiają się, czy ich przedsiębiorstwo ze względu na zakres przetwarzania wymaga oddzielnego inspektora ochrony danych, znajdują punkt wyjścia w wyjaśnieniu dotyczącym obowiązku IOD, ponieważ te dwie kwestie — DPIA i IOD — często wiążą się z tym samym zakresem i oszacowaniem ryzyka przetwarzania.