Kiedy trzeba wykonać DPIA?
DPIA jest obowiązkowa, gdy przetwarzanie może powodować wysokie ryzyko dla praw i wolności osób - i to niezależnie od wielkości organizacji.
Ocena skutków dla ochrony danych jest wymagana m.in. przy systematycznej, zakrojonej na szeroką skalę ocenie czynników osobowych (profilowanie), przetwarzaniu na dużą skalę danych szczególnych kategorii lub danych o wyrokach skazujących, a także przy systematycznym monitorowaniu na dużą skalę miejsc dostępnych publicznie (np. rozbudowany monitoring wizyjny).
Grupa Robocza Art. 29 (obecnie Europejska Rada Ochrony Danych) wypracowała dziewięć kryteriów pomocniczych przy ocenie, czy dany proces wymaga DPIA - m.in. ocenianie lub punktowanie osób, zautomatyzowane podejmowanie decyzji wywołujące skutki prawne, przetwarzanie danych osób wymagających szczególnej ochrony (dzieci, pracownicy), łączenie zbiorów danych z różnych źródeł czy innowacyjne wykorzystanie nowych technologii. W praktyce przyjmuje się, że spełnienie dwóch lub więcej takich kryteriów jest silną przesłanką do przeprowadzenia DPIA.
Prezes UODO publikuje wykaz rodzajów operacji przetwarzania podlegających obowiązkowi DPIA - warto go zweryfikować przed uruchomieniem nowego procesu, żeby uniknąć wdrożenia bez wymaganej oceny.
Pominięcie obowiązkowej DPIA jest samodzielnym naruszeniem RODO, zagrożonym administracyjną karą pieniężną do 10 mln euro lub 2% rocznego światowego obrotu, a organ nadzorczy może dodatkowo nakazać czasowe lub całkowite ograniczenie przetwarzania do czasu jej wykonania.
art. 35 RODO, wytyczne WP248 Grupy Roboczej Art. 29 oraz wykaz Prezesa UODO
DPIA jest wymagana m.in. przy:
- Systematycznej, zakrojonej na szeroką skalę ocenie czynników osobowych (profilowanie)
- Przetwarzaniu na dużą skalę danych szczególnych kategorii
- Przetwarzaniu na dużą skalę danych o wyrokach skazujących i naruszeniach prawa
- Systematycznym monitorowaniu na dużą skalę miejsc dostępnych publicznie
Zobacz też
Ta usługa Cię dotyczy
DPIA – ocena skutków dla ochrony danych
Konsultacja DPIA - 60 minut z prawnikiem - ustalimy, czy planowane przetwarzanie wymaga DPIA.
Powiązane szkolenie
Szkolenie z analizy ryzyka i DPIA