Kiedy przeprowadzić DPIA, czyli kilka słów o preDPIA

Ocena skutków dla ochrony danych (ang. data protection impact assessment, DPIA) to szczególna postać analizy ryzyka. Pozwala ona administratorom opisać dokonywanie przetwarzanie i ocenić jego konieczność i proporcjonalność. Poprzez ocenę ryzyka i określenie środków pozwalających zaradzić jego czynnikom, wspomaga ona również zarządzanie ryzykiem naruszania praw i wolności osób fizycznych.

RODO nie wymaga jednak przeprowadzenia DPIA w odniesieniu do każdej operacji przetwarzania. Kiedy przeprowadzić DPIA? I w jakich przypadkach dokonanie takiej oceny jest obligatoryjne?

DPIA – co na to RODO

Zgodnie z art. 35 ust. 1 RODO, przeprowadzenie oceny skutków dla ochrony danych jest obowiązkowe zawsze, gdy dany rodzaj przetwarzania, ze względu na swój charakter, zakres, kontekst i cele, może z dużym prawdopodobieństwem powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych.

Warunkiem aktualizacji obowiązku dokonania DPIA jest zatem stwierdzenie, że:

• istnieje duże prawdopodobieństwo wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych, oraz
• ryzyko to jest wysokie.

RODO nie definiuje ani pojęcia „dużego prawdopodobieństwa”, jak i „wysokiego ryzyka”. W art. 35 ust. 3 RODO podaje się natomiast przykłady sytuacji, gdy operacja przetwarzania „może powodować wysokie ryzyko”, a więc przeprowadzenie oceny będzie w jej zakresie obowiązkowe. Są to przypadki:

• systematycznej, kompleksowej oceny czynników osobowych odnoszących się do osób fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i jest podstawą decyzji wywołujących skutki prawne wobec osoby fizycznej lub w podobny sposób znacząco wpływających na osobę fizyczną,
• przetwarzania na dużą skalę szczególnych kategorii danych osobowych lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych,
• systematycznego monitorowania na dużą skalę miejsc dostępnych publicznie.

RODO przewiduje również (art. 35 ust. 4 RODO) obowiązek ustanowienia i podania do publicznej wiadomości przez krajowe organy nadzorcze wykazu rodzajów operacji przetwarzania podlegających wymogowi dokonania oceny skutków dla ochrony danych.

Tyle przepisy RODO. Na ich podstawie, administrator musi samodzielnie dokonać oceny, czy dany rodzaj operacji przetwarzania będzie wymagał od niego przeprowadzenia DPIA. Jak zatem ma to zrobić?

Analiza preDPIA – czym jest?

Analiza preDPIA, to nic innego jak ocena, czy dany rodzaj operacji przetwarzania będzie podlegał obowiązkowi przeprowadzenia DPIA.

Jako, że administrator jest zobowiązany wykonać DPIA jeszcze przed rozpoczęciem przetwarzania, analiza preDPIA powinna zostać przeprowadzona w jak najwcześniejszej fazie projektowania danej operacji. Tak, aby w razie takiej konieczności, czynności związane z oceną skutków dla ochrony danych zostały podjęte w odpowiednim czasie.

Biorąc pod uwagę ogólne obowiązki w zakresie rozliczalności określone przez przepisy RODO, analizą preDPIA powinny zostać objęte wszystkie operacje ujawnione w rejestrze czynności przetwarzania.

Należy pamiętać o tym, że przetwarzanie danych osobowych jest procesem dynamicznym i może ulegać ciągłym zmianom. Każda przeprowadzona analiza preDPIA powinna podlegać zatem systematycznym przeglądom i w razie potrzeby, aktualizacjom.

preDPIA w praktyce

Oceniając, czy dany rodzaj operacji będzie podlegał obowiązkowi przeprowadzenia DPIA, administrator powinien  wziąć pod uwagę, wskazane na wstępie, przesłanki. Jeżeli jakakolwiek z nich zostanie spełniona, dokonanie DPIA będzie obligatoryjne. Ze względów praktycznych, warto przesłanki te analizować od ich końca.

Wykaz ustanowiony przez organ nadzorczy

I tak, pierwszy etap preDPIA powinno stanowić sprawdzenie, czy dany rodzaj operacji przetwarzania został ujawniony w wykazie ustanowionym przez organ nadzorczy jako podlegający wymogowi dokonana oceny skutków dla ochrony danych.

Ogłoszony przez Prezesa UODO wykaz zawiera 12 kategorii rodzajów operacji przetwarzania wraz z przykładami operacji, w których może wystąpić wysokie ryzyko naruszenia praw lub wolności oraz przykładami potencjalnych obszarów obejmujących te operacje.

DPIA dla operacji wskazanej w wykazie organu przeprowadzana powinna zostać obowiązkowo. W takim wypadku dalsza analiza nie będzie już konieczna.

Wysokie ryzyko naruszenia praw lub wolności osób fizycznych

Jeżeli badana operacja przetwarzania nie widnieje w wykazie Prezesa UODO, konieczne jest przeprowadzenie dalszych czynności. Drugi etap preDPIA stanowi ocena, czy dany rodzaj przetwarzania może z dużym prawdopodobieństwem powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Jak to sprawdzić?

Wskazywaliśmy już przykłady takich operacji podawane w RODO. Przykłady nie stanowią jednak wyczerpującego wykazu. Mogą występować operacje przetwarzania związane z „wysokim ryzykiem”, których w przepisach RODO nie uwzględniono. Jak je zatem zidentyfikować?

Na pomoc administratorom przyszła Europejska Rada Ochrony Danych. W Wytycznych dotyczących oceny skutków dla ochrony danych oraz pomagające ustalić, czy przetwarzanie „może powodować wysokie ryzyko” do celów rozporządzenia 2016/679 EROD podaje 9 kryteriów oceny operacji.

Jakie to kryteria?

1. Ocena lub punktacja

w tym profilowanie i prognozowanie w szczególności na podstawie „aspektów dotyczących efektów pracy, sytuacji ekonomicznej, zdrowia, osobistych preferencji lub zainteresowań, wiarygodności lub zachowania, lokalizacji lub przemieszczania się osoby, której dane dotyczą.

2. Automatyczne podejmowanie decyzji o skutku prawnym lub podobnie znaczącym skutku

3. Systematyczne monitorowanie

4. Dane wrażliwe lub dane o charakterze wysoce osobistym

5. Dane przetwarzane na dużą skalę

Przy ustalaniu, czy przetwarzanie danych odbywa się na dużą skalę, wziąć pod uwagę w szczególności następujące czynniki: liczbę osób, których dane dotyczą, ilość danych lub zakres poszczególnych przetwarzanych pozycji danych, czas trwania lub trwałość czynności przetwarzania danych oraz zakres geograficzny czynności przetwarzania.

6. Dopasowywanie lub łączenie zbiorów danych

7. Dane dotyczące osób wymagających szczególnej opieki

8. Innowacyjne wykorzystanie lub stosowanie nowych rozwiązań technologicznych lub organizacyjnych

9. Przetwarzanie uniemożliwia osobom, których dane dotyczą, wykonywanie prawa lub korzystanie z usługi lub umowy

Administrator może jednak uznać, że:

• przetwarzanie spełniające tylko jedno z kryteriów będzie wymagało przeprowadzenia DPIA,
• przetwarzanie spełniające dwa lub więcej kryteriów nie będzie wymagało przeprowadzenia DPIA.

We wskazanych wyżej przypadkach, należy szczegółowo uzasadnić przyjęte stanowisko. W szczególności może to nastąpić poprzez powołanie się na decyzje organów nadzorczych, wytyczne Europejskiej Rady Ochrony Danych, orzecznictwo, praktykę doktryny lub na własne doświadczenia w tym zakresie.

Mając na uwadze zasadę rozliczalności, przeprowadzenie preDPIA powinno zostać oczywiście właściwie udokumentowane.

Nie wiesz jak to zrobić? Skorzystaj z naszego wzoru!

preDPIA – kto ją przeprowadza?

Za zapewnienie przeprowadzenia oceny skutków dla ochrony danych osobowych odpowiada administrator. Analogiczną odpowiedzialność należy przyjąć w stosunku do analizy preDPIA. Trudno sobie jednak wyobrazić sytuację, w której Prezes Zarządu spółki będącej administratorem samodzielnie dokonuje takiej oceny.

Tak jak DPIA, tak i preDPIA wymaga szczegółowej wiedzy na temat danej operacji przetwarzania. Stąd też w analizie uczestniczyć powinny osoby taką wiedzę posiadające, tj. przede wszystkim pracownicy / współpracownicy administratora biorący udział w planowanym lub trwającym już przetwarzaniu.

Nie można w tym zakresie oczywiście zapomnieć o roli IOD. Jeżeli został on wyznaczony, to powinien on również uczestniczyć w analizie preDPIA, chociażby w zakresie konsultacji. W praktyce, często administratorzy pozostawiają inspektorom ochrony danych koordynację całego procesu.

Ostateczną decyzję o przeprowadzeniu lub nieprzeprowadzeniu DPIA dla danej operacji przetwarzania, na podstawie przedstawionej mu analizy, podejmuje oczywiście administrator.

Profesjonalne wsparcie

Mamy nadzieję, że poradnik był dla Ciebie pomocny. Jeśli nie masz czasu na samodzielne wykonywanie analiz preDPIA i DPIA, albo chcesz zweryfikować analizę wykonaną przez siebie, zapraszamy do skorzystania z naszej pomocy.

Zobacz, w jaki sposób możemy Ci pomóc:

Sprawdź

Podsumowanie

Tak samo jak DPIA, tak i analiza preDPIA stanowi ważne narzędzie rozliczalności. Ułatwia administratorowi wykazanie przestrzegania wymogów określonych w RODO. Analiza preDPIA stanowi również jeden z elementów stosowania przez administratora  zasady podejścia opartego na ryzyku (ang. risk-based approach). Jej przeprowadzenie nie jest czasochłonne (zestawiając ją z np. z DPIA),  a daje administratorom wymierne korzyści w zakresie zgodności z przepisami RODO.