Twoje preferencje cookies

Wytyczne EROD · art. 7 RODO

Używamy niezbędnych plików cookie technicznych, aby platforma działała (logowanie, bezpieczeństwo, sesje). Chcielibyśmy używać także plików analitycznych, aby wiedzieć, jak ją ulepszać.

Możesz zaakceptować wszystkie, odrzucić wszystkie albo wybrać, które kategorie włączyć.Twoja zgoda jest ważna 6 miesięcy i możesz ją wycofać w każdej chwili ze stopki strony.

Wszystko znajdziesz w naszej informacji o ochronie danych.

DPO WorkspaceZacznij bezpłatnie

Art. 35 RODO

Ocena skutków dla ochrony danych jako narzędzie pracy, nie formalność do odhaczenia

Ocena skutków dla ochrony danych to dokument, który odróżnia IOD dokumentujących decyzje od tych, którzy jedynie wypełniają formularze. W DPO Workspace ocena skutków powstaje w powiązaniu z rejestrem czynności przetwarzania klienta i jest archiwizowana wraz z terminem przeglądu -- dla każdego klienta, w jednym miejscu.

Niezależnie od kryteriów art. 35 ust. 3 RODO, obowiązek przeprowadzenia oceny skutków jest samowykonalny: trzeba go spełnić PRZED rozpoczęciem przetwarzania, a nie dopiero wtedy, gdy Prezes UODO zapuka do drzwi. Kto obsługuje wielu klientów z różnych branż, potrzebuje w tym celu powtarzalnej, możliwej do prześledzenia metodyki -- nie decyzji podejmowanej za każdym razem od nowa, na wyczucie.

Kiedy ocena skutków jest w praktyce obowiązkowa

Poniższe przypadki tłumacza kryteria art. 35 ust. 3 RODO na konkretne sytuacje. Kto obsługuje wielu klientów, powinien znać te listę zamiast sprawdzać wszystko od nowa przy każdym nowym projekcie:

Systematyczna ocena i profilowanie

Zautomatyzowane decyzje wywołujące skutki prawne, np. scoring zdolności kredytowej albo automatyczna selekcja kandydatów do pracy, niemal zawsze wymagają oceny skutków -- niezależnie od wielkości firmy.

Przetwarzanie na dużą skalę danych szczególnych kategorii

Dane o zdrowiu, dane biometryczne lub informacje o przynależności związkowej na większa skale, np. u agencji zatrudnienia lub w ochronie zdrowia.

Systematyczne monitorowanie miejsc dostępnych publicznie

Monitoring wizyjny stref obsługi klienta, parkingów czy wejść z ciągłą rejestracją obrazu regularnie podlega temu obowiązkowi, także przy niewielkiej sieci placówek.

Geolokalizacja i monitorowanie pracowników

Śledzenie floty pojazdów, ewidencja czasu pracy z danymi lokalizacyjnymi albo ocena wydajności pracy za pomocą oprogramowania należą do przypadków wprost wskazywanych przez organy nadzorcze.

Systemy oparte na AI

Wykorzystanie AI do oceny, klasyfikacji lub przewidywania zachowań pokrywa się z kategoriami wysokiego ryzyka z AI Act i wymaga udokumentowanej analizy niezależnie od RODO.

Prowadzony proces krok po kroku

  1. Opisz przetwarzanie, wychodząc od rejestru z art. 30 danego klienta
  2. Ocen niezbędność, proporcjonalność i ryzyko za pomocą prowadzonej macierzy
  3. Ustal środki zaradcze i ryzyko szczątkowe, z podstawami prawnymi tuż obok
  4. Wyeksportuj i zapisz w aktach klienta, wraz z terminem przeglądu

Co konkretnie daje prowadzona oceną skutków

Na końcu każdej oceny skutków nie ma tylko formularza, lecz zestaw materiałów, które pozostają w aktach klienta i są natychmiast dostępne przy kolejnej kontroli:

  • Eksportowalny PDF ze wszystkimi etapami oceny, podstawami prawnymi i znacznikiem czasu -- gotowy do okazania na żądanie organu nadzorczego.
  • Powiązana macierz ryzyka, która łączy prawdopodobieństwo i wagę naruszenia i automatycznie wylicza ryzyko szczątkowe.
  • Termin przeglądu dopasowany do rodzaju przetwarzania, z przypomnieniem przed upływem.
  • Bezpośrednie powiązanie z oceną skutków dla praw podstawowych z art. 27 AI Act, jeśli ta sama czynność dotyczy systemu AI.

Z analizą ryzyka i sekcją AI Act tuż obok

W generatorze znajdziesz także analizę ryzyka (wyliczana macierz prawdopodobieństwo-waga) oraz ocenę skutków dla praw podstawowych z art. 27 AI Act: ocena skutków RODO współdziała z obiema. 30 dni bezpłatnie, bez karty płatniczej.

Wypróbuj bezpłatnie

Najczęściej zadawane pytania

Kiedy ocena skutków jest obowiązkowa?

Gdy przetwarzanie z dużym prawdopodobieństwem powoduje wysokie ryzyko: systematyczna, kompleksowa ocena, przetwarzanie na dużą skalę danych szczególnych kategorii, systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie (art. 35 ust. 3 RODO) -- a do tego przypadki wskazywane dodatkowo przez organy nadzorcze, np. biometria, geolokalizacja pracowników, wykorzystanie systemów AI oraz łączenie danych z wielu źródeł.

Co musi zawierać ocena skutków?

Systematyczny opis przetwarzania i jego celów; ocenę niezbędności i proporcjonalności; ocenę ryzyka dla praw i wolności osób; środki mające temu ryzyku przeciwdziałać (art. 35 ust. 7 RODO). Jeśli ryzyko szczątkowe pozostaje wysokie, konieczne jest uprzednie zasięganie opinii organu nadzorczego (art. 36 RODO).

Kto musi przeprowadzić ocenę skutków?

Administrator, z udziałem inspektora ochrony danych, jeśli został wyznaczony -- jego zdanie należy zasięgnąć i udokumentować, chociaż ostateczna odpowiedzialność ponosi administrator.

Jak ocena skutków łączy się z AI Act?

Ocena skutków dla praw podstawowych z AI Act (art. 27), wymagana od podmiotów stosujących systemy wysokiego ryzyka, może korzystać z już przeprowadzonej oceny skutków dla ochrony danych: te same fakty, uzupełniająca perspektywa (ochrona danych a prawa podstawowe w szerszym ujęciu). Połączenie obu ocen oszczędza podwójną pracę.

Czy wystarczy ogólna ocena ryzyka bez ustrukturyzowanej DPIA?

Nie. RODO wymaga udokumentowanej, możliwej do prześledzenia metodyki według art. 35 ust. 7 -- nieformalna ocena bez takiej struktury nie spełnia obowiązku rozliczalności z art. 5 ust. 2 RODO.

Co się dzieje, gdy organ nadzorczy zada oceny skutków, a jej nie ma?

Brak oceny skutków tam, gdzie była wymagana, jest zazwyczaj traktowany jako odrębne naruszenie art. 35 RODO i uwzględniany przy wymiarze kary -- niezależnie od tego, czy samo przetwarzanie było zgodne z prawem. Udokumentowana, możliwa do prześledzenia ocena skutków jest więc także dowodem rozliczalności z art. 5 ust. 2 RODO.

Każdy klient, jego ocena skutków, jego termin

Rejestr, ryzyko, ocena skutków i dokumenty: powiązane, nie rozproszone.

Zacznij bezpłatnie