W skrócie
DPIA jest obowiązkowa przed rozpoczęciem przetwarzania, gdy jest prawdopodobne wysokie ryzyko. Wykaz Prezesa UODO (M.P. 2019 poz. 666) wymienia dwanaście kategorii operacji. Wytyczne WP248 podają dziewięć kryteriów — spełnienie dwóch zwykle oznacza, że ocena jest wymagana. Jeśli ryzyka nie udaje się obniżyć, art. 36 nakazuje konsultacje z organem przed startem.
Najczęstszy błąd nie dotyczy treści, tylko momentu
Art. 35 ust. 1 RODO mówi wprost: ocenę przeprowadza się PRZED rozpoczęciem przetwarzania. W praktyce DPIA powstaje najczęściej wtedy, gdy system już działa, a ktoś — klient, audytor, organ — o nią zapyta. Dokument sporządzony po fakcie może być poprawny co do treści i wciąż nie spełniać obowiązku, bo ocena ma służyć decyzji o wdrożeniu, a nie jej usprawiedliwieniu. To jest różnica, którą widać w dacie dokumentu i której nie da się naprawić późniejszą redakcją.
Wykaz Prezesa UODO i kryteria WP248: dwa różne narzędzia
Komunikat Prezesa UODO z 17 czerwca 2019 r., ogłoszony w Monitorze Polskim (M.P. 2019 poz. 666), zawiera wykaz dwunastu kategorii operacji przetwarzania wymagających oceny skutków, z przykładami. Wykaz nie jest jednak jedynym punktem odniesienia: obok niego działają wytyczne Grupy Roboczej Art. 29 (WP248 rev.01), przyjęte przez EROD, które podają dziewięć kryteriów — ocena punktowa, automatyczne decyzje ze skutkiem prawnym, systematyczne monitorowanie, dane szczególnych kategorii, przetwarzanie na dużą skalę, łączenie zbiorów, dane osób wymagających szczególnej ochrony, nowe technologie, uniemożliwienie skorzystania z prawa lub usługi. Spełnienie dwóch kryteriów zwykle oznacza, że DPIA jest wymagana.
- Wykaz UODO działa w jedną stronę: jeśli operacja się w nim znajduje, DPIA jest wymagana. Jeśli jej tam nie ma, to nie znaczy, że nie jest.
- Art. 35 ust. 7 wymienia minimalną zawartość: systematyczny opis operacji i celów, ocenę niezbędności i proporcjonalności, ocenę ryzyka dla praw i wolności oraz planowane środki zaradcze.
- Art. 35 ust. 9: administrator zasięga opinii osób, których dane dotyczą, lub ich przedstawicieli — chyba że jest to niemożliwe lub sprzeczne z interesem przedsiębiorstwa. Brak opinii wymaga uzasadnienia, nie milczenia.
- Art. 36: jeśli mimo środków ryzyko pozostaje wysokie, przed rozpoczęciem przetwarzania trzeba skonsultować się z Prezesem UODO. Organ ma osiem tygodni, z możliwością przedłużenia o sześć.
Wzór to punkt wyjścia, nie dokument końcowy
Gotowy wzór DPIA opisuje strukturę, a nie Państwa przetwarzanie. Ocena, której nikt nie dostosował do konkretnych kategorii danych, skali i technologii, jest łatwa do rozpoznania i słaba w każdym sporze: nie zawiera niczego, czego nie dałoby się napisać bez znajomości organizacji. Wzór oszczędza godzinę na formatowaniu — nie zastępuje analizy.
Warto też pamiętać o art. 35 ust. 11: ocenę trzeba przeglądać, gdy zmienia się ryzyko. Zmiana dostawcy, nowy moduł, przeniesienie danych poza EOG — każde z tych zdarzeń może unieważnić ocenę sprzed dwóch lat. DPIA nie jest dokumentem archiwalnym, tylko żywym zapisem decyzji.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
