Choć może wydawać się trudna, ocena skutków dla ochrony danych (DPIA) to jedna z głównych wartości dodanych przez RODO. Dokonując jej, stawiamy się na miejscu osoby, której dane dotyczą i analizujemy, co złego może się stać w wyniku nieprawidłowego przetwarzania danych osobowych. Dzięki temu wiemy, jak zmniejszyć ryzyko incydentów, poprzez zastosowanie adekwatnych środków ochrony danych.
Poniżej odpowiadamy, czym jest DPIA, kiedy i jak jej dokonywać a także udostępniamy przykładowy formularz, za pomocą którego przeprowadzą Państwo ocenę skutków dla ochrony danych w swojej organizacji.
Szablon DPIA
Udostępniony przez nas szablon składa się z dwóch arkuszy. Jeden z nich jest już przykładowo uzupełniony dla procesu "Rekrutacja", drugi jest pusty dla procesów występujących w Państwa organizacjach.
Pobierz
Zgodnie z wytycznymi Grupy Roboczej Art. 29. dotyczącymi oceny skutków dla ochrony danych (WP 248), DPIA, co do zasady, dokonuje się, jeżeli w procesie przetwarzania danych występują przynajmniej dwa z poniższych czynników zwiększających prawdopodobieństwo naruszeń. Więcej przykładów znajdziesz w opublikowanym przez Prezesa UODO, Proponowanym wykazie rodzajów operacji przetwarzania z art. 35 ust. 4.
| Czynniki zwiększające prawdopodobieństwo naruszeń | Przykłady operacji przetwarzania |
|---|---|
| Ocena lub punktacja. |
|
| Automatyczne podejmowanie decyzji o skutku prawnym lub podobnie znaczącym skutku. |
|
| Systematyczne monitorowanie. |
|
| Dane wrażliwe lub dane o charakterze wysoce osobistym. |
|
| Dane przetwarzane na dużą skalę. |
|
| Dopasowywanie lub łączenie zbiorów danych. |
|
| Przetwarzanie danych przez podmioty, które dysponują uprawnieniami władczymi lub oceniającymi. |
|
| Innowacyjne wykorzystanie lub stosowanie nowych rozwiązań technologicznych lub organizacyjnych. |
|
| Gdy samo przetwarzanie „uniemożliwia osobom, których dane dotyczą, wykonywanie prawa lub korzystanie z usługi lub umowy”. |
|
Kroki dokonywania DPIA przedstawia poniższy wykres. Pod nim wyjaśniamy każdy z nich.
Źródło: Wytyczne Grupy Roboczej Art. 29. dotyczące oceny skutków dla ochrony danych (WP 248)
1. Opis planowanych operacji przetwarzania
to przede wszystkim odpowiedzi na pytania, w jakim celu, zakresie i czasie będą przetwarzane dane osobowe. Jeśli prowadzisz już rejestr czynności przetwarzania, znasz odpowiedzi na te pytania.
Przykład:
Przy rekrutacji, przetwarzamy dane w celu zatrudnienia nowych pracowników. Zakres danych to imię, nazwisko, adres, wykształcenie i przebieg zatrudnienia. Termin usunięcia danych to 6 miesięcy po zakończeniu rekrutacji.
2. Ocena konieczności i proporcjonalności
to odpowiedź na pytanie, czy zakres przetwarzanych danych, zakres osób, których dane przetwarzamy, a także zakres odbiorców którym te dane udostępniamy, jest niezbędny z punktu widzenia celów i podstaw prawnych przetwarzania.
Przykład:
Kserowanie dokumentów tożsamości najczęściej nie jest ani niezbędne do realizacji celu przetwarzania (np. identyfikacji danej osoby), ani nie ma podstaw prawnych (wyjątkiem jest np. prawo bankowe).
3. Środki planowane w celu wykazania zgodności
opisujemy przez wskazanie zabezpieczeń organizacyjnych i technicznych, a także rekomendacji dotyczących usunięcia wykrytych niezgodności.
Przykład:
Zostaną wdrożone polityki i procedury ochrony danych, w tym polityka czystego biurka. Dokumenty w wersji papierowej będą zamykane na klucz w szafkach. Zbędne dane osobowe, w tym kopie dowodów osobistych zostaną niezwłocznie usunięte.
4. Ocena ryzyka naruszenia praw i wolności
osób, których dane dotyczą, obejmuje wskazanie:
Jeśli ryzyko jest wysokie, a nie planujemy go zminimalizować, to musimy skonsultować się z Prezesem UODO (art. 36 RODO).
Ryzyko jest wysokie, jeśli przekracza obiektywnie ustalony próg akceptowalności (np. 40% maksymalnego możliwego wyniku).
Na końcu artykułu udostępniamy przykładowo wypełniony formularz.
Przykładowe kryteria:
Waga zagrożenia – skala 1-3, gdzie:
1 – Może dojść do naruszenia prawa, ale trudno wskazać negatywne następstwa dla osoby, której dane dotyczą.
2 – Zagrożeniem objęty jest taki zakres danych osobowych, przy wykorzystaniu którego można spowodować realną szkodę dla osoby, której dane dotyczą.
3 - Zagrożeniem objęty jest taki zakres danych osobowych, przy wykorzystaniu którego można realnie ograniczyć autonomię osoby, której dane dotyczą (m.in. możliwość decydowania o sobie, o relacjach z innymi, o wyborze pracy, czy o wykorzystaniu swoich środków finansowych).
Prawdopodobieństwo – skala 1-3, gdzie:
1 – Wystąpienie zdarzenia jest mało realne lub zdarzenie miało miejsce miało miejsce w przeszłości, ale nie wystąpiło w ciągu ostatnich trzech lat.
2 – Wystąpienie zdarzenia jest realne lub zdarzenie wystąpiło w ciągu ostatnich trzech lat.
3 – Wystąpienie zdarzenia jest wysoce realne lub zdarzenie wystąpiło w ciągu ostatniego roku.
5. Środki planowane w celu wyeliminowania ryzyka
ustala się na podstawie rekomendacji wydanych w poprzednim kroku. Realizując je, najczęściej niwelujemy podatności, z których wynika możliwość wystąpienia zagrożenia.
Przykład:
Planuje się weryfikować informacje dostarczane przez kandydatów na etapie rozmów kwalifikacyjnych. Kandydaci zapraszani na rozmowy będą proszeni o zabranie ze sobą dyplomów i certyfikatów.
6. Dokumentacja
DPIA obejmuje zapis czynności podejmowanych w ramach DPIA, jak również dowody audytowe, czyli np. kopie dokumentów potwierdzających prawdziwość ustaleń.
Przykład:
Zakres zbieranych danych (imię, nazwisko, adres, wykształcenie i przebieg zatrudnienia) można udokumentować kopią ogłoszenia o pracę lub formularza aplikacyjnego, gdzie występuje prośba o podanie takich danych.
7. Monitorowanie i przegląd
DPIA należy dokonywać zawsze, gdy występuje możliwość zmiany ryzyka naruszenia praw lub wolności osób fizycznych. W ramach dobrych praktyk, oceny skutków dla ochrony danych należy dokonywać raz w roku.
Przykład:
Jeżeli łączymy się z inną organizacją i będziemy prowadzić wspólną rekrutację, należy ocenić, czy nie nastąpi obniżenie standardów ochrony danych, a ryzyko dla procesu nie wzrośnie.
Ponieważ RODO ma na celu ochronę prywatności, główne wartości dodane przez ten akt, to:
DPIA dokonuje administrator, niezależnie od wielkości swojej organizacji. Odpowiedź na pytanie, kiedy dokonywać DPIA, znajduje się powyżej.
Szablon DPIA
Udostępniony przez nas szablon składa się z dwóch arkuszy. Jeden z nich jest już przykładowo uzupełniony dla procesu "Rekrutacja", drugi jest pusty dla procesów występujących w Państwa organizacjach.
Pobierz
Kompletne informacje na temat wymaganego zakresu DPIA, a także wyjaśnienie powiązanych przepisów, znajdziesz w wytycznych Grupy Roboczej Art. 29. dotyczących oceny skutków dla ochrony danych (WP 248).
Raz w miesiącu wysyłamy subiektywny przegląd najważniejszych informacji i wydarzeń oraz naszych promocji i nowości. Wystarczy poniżej podać swój adres e-mail.
Zobacz poprzednie wydanie.