DPIA, w pełni ocena skutków dla ochrony danych, to ocena ryzyka, którą przeprowadza się z wyprzedzeniem, gdy przetwarzanie danych osobowych może wiąćze sobą wysokie ryzyko dla osób, których dane są przedmiotem przetwarzania. Rozporządzenie RODO nie nakazuje tego badania przy każdym przetwarzaniu, ale konkretnie przy przetwarzaniu, które ze względu na swoją naturę, zakres, kontekst lub cel może mieć znaczący wpływ — pomyślmy o monitorowaniu na dużą skalę, profilowaniu systematycznym lub przetwarzaniu szczególnych kategorii danych, takich jak dane o stanie zdrowia na dużą skalę.
To, czy Pani/Pan musi przeprowadzić DPIA, zależy od tego, co dokładnie robi Pani/Pan z danymi, a nie od wielkości Pani/Pana przedsiębiorstwa. Samozatrudniony, który na małą skalę instaluje kamery w sklepie, zwykle pozostaje poza tym obowiązkiem; przedsiębiorstwo MŚP, które za pomocą oprogramowania AI analizuje na dużą skalę zachowanie klientów lub przeprowadza selekcję kandydatów, szybciej wpadnie w obszar obowiązkowej DPIA. Urząd Ochrony Danych Osobowych publikuje listę przetwarzania, dla którego taka analiza jest zawsze wymagana; ta lista jest dobrym punktem wyjścia do określenia, czy Pani/Pana sytuacja się do niej zalicza.
Kiedy to dotyczy MŚP
Większość przedsiębiorstw MŚP unika formalnej DPIA, po prostu dlatego, że ich przetwarzanie nie ma skali ani poziomu ryzyka, które ma na myśli Rozporządzenie RODO. Jednak są sytuacje, w których pytanie staje się nagle istotne: wdrażanie nadzoru kamerowego z rozpoznawaniem twarzy, korzystanie z nowego narzędzia AI, które automatycznie podejmuje decyzje dotyczące klientów lub pracowników, lub rozszerzenie istniejącego oprogramowania, za pomocą którego nagle przetwarzają Pani/Pan dane na znacznie większą skalę niż dotychczas.
To nie jest więc tyle sektor, który określa, czy DPIA jest potrzebna, ale raczej zmiana w tym, co robi Pani/Pan. Dział HR, który przechodzi na narzędzie do rekrutacji ze zautomatyzowanym przeszukiwaniem CV, robi dobrze, zadając sobie pytanie, czy ta zmiana mieści się w kryteriach. To samo dotyczy kierownika biura, który rozważa wdrożenie nowego narzędzia SaaS, które śledzi zachowanie odwiedzających witrynę i łączy je z innymi źródłami danych.
Co powinno zawierać się w DPIA
DPIA opisuje systematycznie, co się dzieje: które dane są przetwarzane, w jakim celu, na podstawie jakiej podstawy prawnej, i kto ma dostęp do danych. Następnie analiza mapuje ryzyka dla osób, których dane dotyczą — co może się nie udać i jak duże jest prawdopodobieństwo i wpływ tego. Ostatnią częścią jest środek: jakie kroki techniczne lub organizacyjne są podejmowane w celu zmniejszenia tych zagrożeń, i czy po tych środkach pozostaje się jeszcze ryzyko, które nie można wyeliminować.
Ten ostatni punkt jest ważny: jeśli DPIA wykaże, że nawet po wdrożeniu środków pozostaje wysokie ryzyko, Rozporządzenie RODO nakazuje Pani/Panu przedłożyć to organowi nadzoru, zanim rozpocznie Pani/Pan przetwarzanie. To wyjątek, a nie standardowy krok, ale to jest powód, dla którego DPIA nie jest czymś, co można wypełnić retrospektywnie.
Związek z rejestrem przetwarzania
DPIA nie stoi oddzielnie od reszty Pani/Pana administracji dotyczącej Rozporządzenia RODO. Przetwarzanie, dla którego przeprowadza Pani/Pan analizę, powinno również znaleźć się w bazie wiedzy, gdzie ryzyka dla każdego przetwarzania są opracowane, tak aby było jasne, które przetwarzanie wymaga dodatkowej uwagi, a które nie. Jeśli rejestr przetwarzania jest już uporządkowany, często można zobaczyć, które przetwarzanie pod względem skali lub wrażliwości jest bliżej progu DPIA niż inne.
Warto również sprawdzić umowy zawarte z podmiotu przetwarzającymi dane osobowe w ramach tej operacji: zewnętrzna strona przetwarzająca dane osobowe, dla której rozpatrujecie przeprowadzenie DPIA, jest często również podmiotem, u którego mogą powstać największe ryzyko, jeśli coś pójdzie nie tak. Podobnie jak w przypadku możliwej naruszenia ochrony danych, warto wiedzieć z wyprzedzeniem, jakie warunki dotyczą waszej sytuacji, zamiast dopiero po fakcie ustalać, co dokładnie zostało uzgodnione.
Co jeśli macie wątpliwości
Granica między "najprawdopodobniej DPIA nie jest wymagana" a "lepiej najpierw przeanalizować" nie zawsze jest wyraźnie wytyczona, a rozporządzenie celowo pozostawia tu miejsce na własną ocenę. W przypadku wątpliwości zaleca się zapoznanie się z wytycznymi Urzędu Ochrony Danych Osobowych lub skonsultowanie się z pracownikiem prawnym w sprawie waszej konkretnej sytuacji. Niniejsza strona opisuje ogólne podejście zawarte w rozporządzeniu; nie stanowi ona zastępstwa dla takiej porady.
Chcecie najpierw zobaczyć, jak wasze własne operacje przetwarzania odnoszą się do oceny ryzyka stosowanej przez rozporządzenie? Skorzystajcie z bezpłatnej szybkiej analizy lub przejrzyjcie często zadawane pytania dotyczące rejestru działań przetwarzania i jego monitorowania aby zobaczyć, który krok będzie najbardziej odpowiedni dla waszej firmy.