Formularz DPIA

Monitorujesz czas pracy pracowników? Przetwarzasz dane szczególnych kategorii? Ustanowiłeś kanały zgłaszania naruszeń przez sygnalistów?

Jeżeli tak, to prawdopodobnie ciąży na Tobie obowiązek przeprowadzenia DPIA. Skorzystaj z naszego formularza i oceń ryzyka z tym związane.

dowiedz się więcej Wykonaj DPIA

Katarzyna Szczypińska

Gdy Twoja organizacja gromadzi, przechowuje lub wykorzystuje dane osobowe, ludzie, których dane przetwarzasz, są narażeni na szereg ryzyk. Obejmują one m.in. kradzież lub nieumyślne ujawnienie danych osobowych lub też ich wykorzystanie do innych niż pierwotnie zdefiniowane celów. Ocena skutków dla ochrony danych (DPIA) to sposób na systematyczną i wszechstronną analizę prowadzonych przez Ciebie operacji przetwarzania oraz identyfikację i minimalizację zagrożeń dla ochrony danych.

Dobrze wykonane DPIA zapewni Ci m.in.:

  • zgodność z RODO i uniknięcie kar;
  • zaufanie ludzi, których dane chcesz przetwarzać;
  • minimalizację ryzyk związanych z wyciekiem danych osobowych;
  • niższe koszty operacyjne związane z optymalizacją przepływu informacji w ramach projektu oraz wyeliminowanie zbędnego gromadzenia i przetwarzania danych.

Formularz DPIA, który dla Ciebie przygotowaliśmy zawiera wszystkie elementy wymagane przez wytyczne EROD w sprawie oceny skutków dla ochrony danych. Dzięki temu nie musisz martwić się, czy uwzględniłeś wszystkie elementy tego nie łatwego procesu.

Jeżeli mimo to nie wiesz, jak wypełnić go treścią, nie martw się, jesteśmy obok i chętnie Ci pomożemy.

Wykonaj DPIA

1Systematyczny opis operacji przetwarzania

Nazwa procesu
Wskaż nazwę procesu, dla którego wykonujesz DPIA.
Jak wygląda środowisko bezpieczeństwa, w którym działa administrator (kontekst przetwarzania danych osobowych, charakter przetwarzania, interesariusze, środowisko regulacyjne)?
W celu przeprowadzenia DPIA potrzebna jest wiedza na temat kontekstu przetwarzania (wewnętrznego i zewnętrznego) w ramach danej operacji, a zatem istotnych z punktu widzenia podmiotu danych okoliczności przetwarzania. Ponadto konieczne będzie opisanie charakteru, celu i zakresu przetwarzania, tj. nieodłącznych cech danej operacji (np. kategorie danych, kwestie regulacyjne, liczba osób/danych, ustalone cele przetwarzania). Administrator będzie zatem musiał odpowiedzieć sobie na pytanie, jak przetwarza dane, w tym jak przepływają dane w organizacji, i w jakim celu/ dlaczego. Pierwsze pytanie w naszym kwestionariuszu dotyczy właśnie opisu środowiska przetwarzania - zastanów się, jaką organizacją jest administrator danych osobowych, a także nad kategoriami osób, których dane dotyczą i relacją twojej organizacji z tymi osobami, jakie przetwarzanie ma istotne cechy. Zastanów się, jakie przepisy regulują przetwarzanie - czy istnieją przepisy szczególne (np. w sprawach kadrowych - Kodeks pracy), czy operacja ma być przeprowadzona w środowisku wysoce regulowanym (np. finanse lub zdrowie). Jeśli to dotyczy Twojej organiazacji, wskaż również inne normy i standardy, które mają wpływ na przetwarzanie danych (np. normy ISO, BRCGS, kodeksy etyczne, kodeksy postępowania, certyfikaty z art. 42 RODO).
Jak wygląda cykl życia danych (od pozyskania danych osobowych, poprzez poszczególne operacje przetwarzania, na zniszczeniu skończywszy)?
Cykl życia danych, czyli ścieżka, jaką mają poruszać się dane osobowe w danej operacji, a zatem opisz, jak pozyskujesz dane, jak je wykorzystujesz w danej operacji lub operacjach, a następnie opisz, co się stanie w momencie, kiedy dane nie są już niezbędne w danej operacji (np. dane są usuwane z systemu, dokumenty są brakowane i niszczone etc.).
Jakie są cele przetwarzania danych osobowych w ramach omawianego procesu?
Jakie cele przetwarzania administrator zidentyfikował? Po co dane są przetwarzane? (w zakresie konkretności celu i innych elementów prawidłowo określnego celu - zob. pyt. Czy cele przetwarzania są konkretne, wyraźne i prawnie uzasadnione (art. 5 ust. 1 lit. b RODO)? )
Jakie komórki organizacyjne organizacji biorą udział w danym procesie przetwarzania?
Zastanów się, kto w ramach organizacji bierze udział w przetwarzaniu, np. w procesach związanych z zatrudnieniem może to być Dział HR.
Jakie podmioty przetwarzające biorą udział w danym procesie przetwarzania?
Wskaż wszystkich procesorów zaangażowanych w ten proces.
Jakim innym administratorom przekazywane są dane osobowe przetwarzane w ramach danego procesu?
Czy oprócz pracowników administratora i procesorów zaangażowane są również inne podmioty? Komu jeszcze udostępniasz dane? Mogą to być organy publiczne, współadministratorzy, spółki z grupy kapitałowej, podmioty, które w ramach realizowanej usługi będą mieć status osobnego administratora (np. adwokat). Jaka jest podstawa udostępnienia?
Jakich kategorii osób dane będą przetwarzane?
Wskaż jakich kategorii osób dane dotyczą, np. kandydaci do pracy, pracownicy, sygnaliści, klienci, osoby działające w imieniu klientów – firm, osoby objęte monitoringiem wizyjnym, osoby wnioskujące o przyznanie kredytu, użytkownicy strony internetowej, użytkownicy aplikacji mobilnej, czytelnicy korzystający ze zbiorów bibliotecznych itp.
Jakie kategorie danych będą przetwarzane?
Wskaż rodzajowo kategorie danych osobowych: imię, nazwisko, PESEL, NIP, adres e-mail etc. Zwróć uwagę na dane szczególnych kategorii, a także na dane, z którymi może być związane wyższe ryzyko wystąpienia negatywnych skutków, takie jak dane wysoce osobiste, czy dane o szczególnych charakterze (np. tożsamość płciowa, szczegółowe informacje geolokalizacyjne, przekonania światopoglądowe, informacje zawarte w dziennikach/pamiętnikach).
Jakie zasoby będą wykorzystywane do przetwarzania danych osobowych w ramach omawianego procesu?
Pytanie dotyczy przede wszystkim aktywów wykorzystywanych w procesie przetwarzania danych osobowych, takich jak urządzenia, wyposażenie, systemy IT, technologie, nośniki.

2Ocena niezbędności i proporcjonalności

Czy cele przetwarzania są konkretne, wyraźne i prawnie uzasadnione (art. 5 ust. 1 lit. b RODO)?
Nieodłączną cechą przetwarzania jest cel danej operacji. Administrator nie może przetwarzać danych osobowych bez uprzedniej identyfikacji celu. Administrator danych osobowych jest wręcz definiowany przez możliwość określania celów i sposobów przetwarzania. Cele powinny być konkretne, wyraźne i prawnie uzasadnione, co oznacza, że powinny być na tyle precyzyjnie określone, aby można było ocenić daną operację przetwarzania, co się w niej mieści, a co nie będzie wchodziło w jej zakres, a także ocenić zgodność przetwarzania z prawem. Ocena taka powinna być możliwa do dokonania zarówno przez organ nadzorczy, ale także przez podmiot danych, któremu cel powinien być wyraźnie (przejrzyście) zakomunikowany.
Jakie są podstawy prawne przetwarzania dla danego procesu (art. 6 RODO)?
Jak już wspomiano - cel powinien być prawnie uzasadniony, a zatem zgodny z prawem, w tym przetwarzanie w związku ze wskazanym celem powinno być oparte na ważnych podstawach prawnych z art. 6 RODO. Jeśli przetwarzasz dane na podstawie prawnie uzasdnionego interesu (art. 6 ust. 1 lit. f RODO), wskaż, na czym polega ten interes, z czego wynika niezbędność przetwarzania i w jaki sposób interes ten jest nadrzędny wobec interesów osoby, której dane dotyczą. W tym miejscu można się odnieść do przeprowadzonego testu równowagi. Pomocnym narzędziem jest Formularz testu równowagi]. W przypadku obowiązku prawnego czy też realizacji zadania publicznego - wskaż podstawę prawną z właściwych ustaw.
Czy zbierane dane są adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (art. 5 ust. 1 lit. c RODO)?
W jaki sposób dane osobowe przetwarzane w ramach danej operacji będą podlegały zasadzie minimalizacji danych? Np. czy projektowany system będzie miał formularze, w których użytkownik może swobodnie podawać dane, czy wprost wskazano, jakie to są dane i w jakich komórkach powinny być podane.
Czy dane są przechowywane wyłącznie przez czas niezbędny do ich przetwarzania (art. 5 ust. 1 lit. e RODO)?
Wskaż planowane okresy przechowywania danych oraz w jaki sposób planujesz zapewnić, że dane zostaną usunięte bądź zanonimizowane po upłynięciu wskazanego okresu, np. poprzez automatyczne usunięcie danych z systemu po przekroczeniu wskazanej w systemie daty.
Czy dane są prawidłowe i w razie potrzeby uaktualniane (art. 5 ust. 1 lit. d RODO)?
W jaki sposób zapewnisz zachowanie wysokiej jakości danych w ramach przetwarzania? Np. poprzez regularne przeglądy pod kątem jakości danych, umożliwienie użytkownikom aktualizacji danych, dokumentowanie zmian danych.
Czy zobowiązania podmiotów przetwarzających zostały jasno określone i zawarte w umowie (art. 28 RODO)?
Administratorzy powinni zawierać umowy powierzenia ze swoimi procesorami. Zweryfikuj, czy procesorzy, z którymi współpracujesz, działają na podstawie umów, a także czy umowy te są aktualne/zgodne z art. 28 RODO. Czy weryfikujesz gwarancje procesorów?
Czy w ramach omawianego procesu dochodzi do przekazywania danych osobowych poza obszar Unii Europejskiej i czy dane są adekwatnie chronione (rozdział V RODO)?
Zidentyfikuj transfery danych osobowych poza EOG, a także podstawy tych transferów (np. decyzja o adekwatności, standardowe klauzule umowne, wiążące reguły korporacyjne) . Czy przeprowadziłeś/aś już TIA? Pomocne w przeprowadzeniu TIA jest nasze narzędzie Kalkulator TIA.
Czy administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14 RODO?
W jaki sposób planujesz informować osoby, których dane dotyczą, o przetwarzaniu ich danych? Czy informacje, które chcesz przekazać, są sporządzone jasnym i prostym językiem dostosowanym do odbiorcy, a treść pokrywa się z art. 13 RODO?
Czy administrator realizuje prawo dostępu przysługującego osobie, której dane dotyczą, w tym wydawania kopii danych?
Prawo dostępu jest bardzo istotnym uprawnieniem jednostki. Zasoby używane w toku realizacji operacji przetwarzania czy też rozwiązania, które oceniasz w ramach DPIA, powinny już w fazie projektowania uwzględniać możliwość realizacji prawa dostępu do danych, w tym przekazania kopii danych.
Czy administrator realizuje prawo do sprostowania danych?
Podobnie jak powyżej, osoba, której dane dotyczą, powinna móc bezproblemowo realizować swoje prawa, w tym prawo do sprostowania danych. W jaki sposób można dane sprostować? Czy projektowane rozwiązanie umożliwia samodzielne poprawienie danych?
Czy administrator realizuje prawo do przenoszenia danych (art. 20 RODO)?
Na tym etapie już powinniśmy wiedzieć, czy nasze rozwiązanie zezwala na eksport danych "w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego".
Czy administrator realizuje prawo do usunięcia danych?
Zastanów się, w jaki sposób zapewnisz, aby dane były usuwane. Czy wykorzystywane systemy umożliwiają usuwanie danych? Czy to usunięcie jest skuteczne? Czy przewidujesz sytuacje, kiedy dane nie będą mogły być usunięte (np. z racji obowiązku prawnego z racji obowiązku prawnego ich dalszego przechowywania).
Czy administrator realizuje prawo do ograniczenia przetwarzania?
Zgodnie z definicją z art. 4 pkt 3 RODO „ograniczenie przetwarzania” to oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania, co z kolei zgodnie z art. 18 ust. 2 RODO będzie się sprowadzało do ograniczenia przetwarzania jedynie do przechowywania danych, chyba że dysponujemy zgodą osoby na inne czynności przetwarzania, potrzebujemy danych do ustalenia, dochodzenia, obrony roszczeń lub przetwarzanie nakazuje nam obowiązek prawny. W praktyce należy zatem rozważyć, czy wykorzystywane systemy zezwalają nam na oznaczenie danych jako dane, których przetwarzanie powinno być ograniczone do ich przechowywania.

3Zaangażowane zainteresowanych stron

Czy konsultowano ocenę skutków planowanych operacji przetwarzania dla ochrony danych osobowych z inspektorem ochrony danych? Jeżeli tak, jakie były jego zalecenia i czy zostały one zrealizowane?
Jeśli IOD został wyznaczony, administrator ma obowiązek konsultowania z nim DPIA. Fakt konsultacji powinien być udokumentowany w ramach DPIA (do tego służy niniejsza rubryka). Grupa Robocza art. 29 w Wytycznych dotyczących inspektorów ochrony danych („DPO”) (WP 243 rev.01) wskazuje na następujące kwestie, które mogą podlegać konsultacjom:
1) konieczność przeprowadzenia oceny skutków dla ochrony danych;
2) metoda, jaką należy zastosować przy przeprowadzaniu oceny skutków dla ochrony danych;
3) ustalenie, czy ocena skutków dla ochrony danych powinna zostać przeprowadzona wewnątrz przedsiębiorstwa, czy też zlecona podmiotowi zewnętrznemu;
4) ustalenie, jakie gwarancje (uwzględniając środki techniczne i organizacyjne) należy zastosować w celu ograniczenia wszelkiego rodzaju zagrożeń dla praw i interesów osób, których dane dotyczą;
5) ustalenie, czy ocena skutków dla ochrony danych została przeprowadzona w prawidłowy sposób i czy jej wyniki (wnioski dotyczące tego, czy należy kontynuować przetwarzanie danych, oraz jakie zabezpieczenia należy zastosować) są zgodne z przepisami RODO.
Czy konsultowano ocenę skutków planowanych operacji przetwarzania dla ochrony danych osobowych z osobami, których dane dotyczą, lub ich przedstawicielami? Jeżeli tak, jaka była ich opinia i czy została ona uwzględniona?
Administrator może, a w "stosownych przypadkach" wręcz musi, skonsultować DPIA z osobami, których dane dotyczą, ich przedstawicielami czy też z zewnętrznymi ekspertami. Ich opinia powinna być udokumentowana, a w przypadku niezgodności wniosków administratora i konsultowanych osób, należy udokumentować powody podjęcia bądź niepodjęcia dezycji. Podobnie też udokumentowana powinna być decyzja o niekonsultowaniu się z osobami, których dane dotyczą, np. wskazując na konieczność ochrony informacji o krytycznym znaczeniu dla organizacji czy też ochrony interesów handlowych.

4Identyfikowanie zagrożeń

Zagrożenia?

Zagrożenie nr 1

Zagrożenie nr 2

Zagrożenie nr 3

Zagrożenie nr 4

Zagrożenie nr 5

5Identyfikowanie podatności

Wskaż podatność mogącą doprowadzić do materializacji zagrożenia nr 1
W celu oceny zagrożenia niezbędna jest jego precyzyjna identyfikacja. W kontekście danej kategorii zagrożeń zastanów się, jakie sytuacje, zdarzenia, które mogą powodować zmaterializowanie się ryzyka dla praw i wolności osób, których dane dotyczą, mogą mieć miejsce w procesie? Weź pod uwagę ustalenia poczynione w ramach systematycznego opisu operacji przetwarzania i niezgodności stwierdzone podczas analizy niezbędności i propocjonalności przetwarzania. Posłuż się doświadczeniem organizacji, np. jakie zdarzenia miały już miejsce, jakie zostały zidentyfikowane w ramach ogólnej analizy ryzyka lub audytów. Możesz również wziąć pod uwagę informacje zewnętrzne: raporty, opracowania, decyzje organów nadzorczych. Weź pod uwagę charakter, zakres, kontekst i cele przetwarzania (zob. motyw 76 RODO), tj. w szczególności, jakie dane będą przetwarzane, przy pomocy jakich środków, jakich czynności przetwarzania, jakie zasady przetwarzania materializują sie w przetwarzaniu. Przykładem podatności może być: brak poinformowania osób, których dane dotyczą, kradzież nośników danych spowodowana brakiem kontroli dostępu, brak świadomości pracowników, przetwarzanie danych w państwach trzecich, brak zasad retencji danych.
Wskaż podatność mogącą doprowadzić do materializacji zagrożenia nr 2
W celu oceny zagrożenia niezbędna jest jego precyzyjna identyfikacja. W kontekście danej kategorii zagrożeń zastanów się, jakie sytuacje, zdarzenia, które mogą powodować zmaterializowanie się ryzyka dla praw i wolności osób, których dane dotyczą, mogą mieć miejsce w procesie? Weź pod uwagę ustalenia poczynione w ramach systematycznego opisu operacji przetwarzania i niezgodności stwierdzone podczas analizy niezbędności i propocjonalności przetwarzania. Posłuż się doświadczeniem organizacji, np. jakie zdarzenia miały już miejsce, jakie zostały zidentyfikowane w ramach ogólnej analizy ryzyka lub audytów. Możesz również wziąć pod uwagę informacje zewnętrzne: raporty, opracowania, decyzje organów nadzorczych. Weź pod uwagę charakter, zakres, kontekst i cele przetwarzania (zob. motyw 76 RODO), tj. w szczególności, jakie dane będą przetwarzane, przy pomocy jakich środków, jakich czynności przetwarzania, jakie zasady przetwarzania materializują sie w przetwarzaniu. Przykładem podatności może być: brak poinformowania osób, których dane dotyczą, kradzież nośników danych spowodowana brakiem kontroli dostępu, brak świadomości pracowników, przetwarzanie danych w państwach trzecich, brak zasad retencji danych.
Wskaż podatność mogącą doprowadzić do materializacji zagrożenia nr 3
W celu oceny zagrożenia niezbędna jest jego precyzyjna identyfikacja. W kontekście danej kategorii zagrożeń zastanów się, jakie sytuacje, zdarzenia, które mogą powodować zmaterializowanie się ryzyka dla praw i wolności osób, których dane dotyczą, mogą mieć miejsce w procesie? Weź pod uwagę ustalenia poczynione w ramach systematycznego opisu operacji przetwarzania i niezgodności stwierdzone podczas analizy niezbędności i propocjonalności przetwarzania. Posłuż się doświadczeniem organizacji, np. jakie zdarzenia miały już miejsce, jakie zostały zidentyfikowane w ramach ogólnej analizy ryzyka lub audytów. Możesz również wziąć pod uwagę informacje zewnętrzne: raporty, opracowania, decyzje organów nadzorczych. Weź pod uwagę charakter, zakres, kontekst i cele przetwarzania (zob. motyw 76 RODO), tj. w szczególności, jakie dane będą przetwarzane, przy pomocy jakich środków, jakich czynności przetwarzania, jakie zasady przetwarzania materializują sie w przetwarzaniu. Przykładem podatności może być: brak poinformowania osób, których dane dotyczą, kradzież nośników danych spowodowana brakiem kontroli dostępu, brak świadomości pracowników, przetwarzanie danych w państwach trzecich, brak zasad retencji danych.
Wskaż podatność mogącą doprowadzić do materializacji zagrożenia nr 4
W celu oceny zagrożenia niezbędna jest jego precyzyjna identyfikacja. W kontekście danej kategorii zagrożeń zastanów się, jakie sytuacje, zdarzenia, które mogą powodować zmaterializowanie się ryzyka dla praw i wolności osób, których dane dotyczą, mogą mieć miejsce w procesie? Weź pod uwagę ustalenia poczynione w ramach systematycznego opisu operacji przetwarzania i niezgodności stwierdzone podczas analizy niezbędności i propocjonalności przetwarzania. Posłuż się doświadczeniem organizacji, np. jakie zdarzenia miały już miejsce, jakie zostały zidentyfikowane w ramach ogólnej analizy ryzyka lub audytów. Możesz również wziąć pod uwagę informacje zewnętrzne: raporty, opracowania, decyzje organów nadzorczych. Weź pod uwagę charakter, zakres, kontekst i cele przetwarzania (zob. motyw 76 RODO), tj. w szczególności, jakie dane będą przetwarzane, przy pomocy jakich środków, jakich czynności przetwarzania, jakie zasady przetwarzania materializują sie w przetwarzaniu. Przykładem podatności może być: brak poinformowania osób, których dane dotyczą, kradzież nośników danych spowodowana brakiem kontroli dostępu, brak świadomości pracowników, przetwarzanie danych w państwach trzecich, brak zasad retencji danych.
Wskaż podatność mogącą doprowadzić do materializacji zagrożenia nr 5
W celu oceny zagrożenia niezbędna jest jego precyzyjna identyfikacja. W kontekście danej kategorii zagrożeń zastanów się, jakie sytuacje, zdarzenia, które mogą powodować zmaterializowanie się ryzyka dla praw i wolności osób, których dane dotyczą, mogą mieć miejsce w procesie? Weź pod uwagę ustalenia poczynione w ramach systematycznego opisu operacji przetwarzania i niezgodności stwierdzone podczas analizy niezbędności i propocjonalności przetwarzania. Posłuż się doświadczeniem organizacji, np. jakie zdarzenia miały już miejsce, jakie zostały zidentyfikowane w ramach ogólnej analizy ryzyka lub audytów. Możesz również wziąć pod uwagę informacje zewnętrzne: raporty, opracowania, decyzje organów nadzorczych. Weź pod uwagę charakter, zakres, kontekst i cele przetwarzania (zob. motyw 76 RODO), tj. w szczególności, jakie dane będą przetwarzane, przy pomocy jakich środków, jakich czynności przetwarzania, jakie zasady przetwarzania materializują sie w przetwarzaniu. Przykładem podatności może być: brak poinformowania osób, których dane dotyczą, kradzież nośników danych spowodowana brakiem kontroli dostępu, brak świadomości pracowników, przetwarzanie danych w państwach trzecich, brak zasad retencji danych.

6Identyfikowanie skutków

Wskaż skutki dla osób, których dane dotyczą dla zagrożenia nr 1
Jakie widzisz zagrożenia dla praw i wolności wynikające z zidentyfikowanych podatności? Pamiętaj, że prawa i wolności należy rozumieć szeroko - nie tylko jako prawo do prywatności i ochrony danych, ale także inne prawa podstawowe. Np. brak odpowiednich zabezpieczeń czy brak świadomości pracowników może doprowadzić do bezpowrotnej utraty danych, co z kolei może prowadzić do frustracji, szkody majątkowej, a brak obowiązku informacyjnego może prowadzić do niezrozumienia, dlaczego dane są przetwarzane przez daną organizację, i co za tym idzie – stratę czasu związaną z identyfikacją administratora. Brak polityki retencji będzie mógł skutkować zdenerwowaniem z powodu faktu, że dane są jeszcze przetwarzane.
Wskaż skutki dla osób, których dane dotyczą dla zagrożenia nr 2
Jakie widzisz zagrożenia dla praw i wolności wynikające z zidentyfikowanych podatności? Pamiętaj, że prawa i wolności należy rozumieć szeroko - nie tylko jako prawo do prywatności i ochrony danych, ale także inne prawa podstawowe. Np. brak odpowiednich zabezpieczeń czy brak świadomości pracowników może doprowadzić do bezpowrotnej utraty danych, co z kolei może prowadzić do frustracji, szkody majątkowej, a brak obowiązku informacyjnego może prowadzić do niezrozumienia, dlaczego dane są przetwarzane przez daną organizację, i co za tym idzie – stratę czasu związaną z identyfikacją administratora. Brak polityki retencji będzie mógł skutkować zdenerwowaniem z powodu faktu, że dane są jeszcze przetwarzane.
Wskaż skutki dla osób, których dane dotyczą dla zagrożenia nr 3
Jakie widzisz zagrożenia dla praw i wolności wynikające z zidentyfikowanych podatności? Pamiętaj, że prawa i wolności należy rozumieć szeroko - nie tylko jako prawo do prywatności i ochrony danych, ale także inne prawa podstawowe. Np. brak odpowiednich zabezpieczeń czy brak świadomości pracowników może doprowadzić do bezpowrotnej utraty danych, co z kolei może prowadzić do frustracji, szkody majątkowej, a brak obowiązku informacyjnego może prowadzić do niezrozumienia, dlaczego dane są przetwarzane przez daną organizację, i co za tym idzie – stratę czasu związaną z identyfikacją administratora. Brak polityki retencji będzie mógł skutkować zdenerwowaniem z powodu faktu, że dane są jeszcze przetwarzane.
Wskaż skutki dla osób, których dane dotyczą dla zagrożenia nr 4
Jakie widzisz zagrożenia dla praw i wolności wynikające z zidentyfikowanych podatności? Pamiętaj, że prawa i wolności należy rozumieć szeroko - nie tylko jako prawo do prywatności i ochrony danych, ale także inne prawa podstawowe. Np. brak odpowiednich zabezpieczeń czy brak świadomości pracowników może doprowadzić do bezpowrotnej utraty danych, co z kolei może prowadzić do frustracji, szkody majątkowej, a brak obowiązku informacyjnego może prowadzić do niezrozumienia, dlaczego dane są przetwarzane przez daną organizację, i co za tym idzie – stratę czasu związaną z identyfikacją administratora. Brak polityki retencji będzie mógł skutkować zdenerwowaniem z powodu faktu, że dane są jeszcze przetwarzane.
Wskaż skutki dla osób, których dane dotyczą dla zagrożenia nr 5
Jakie widzisz zagrożenia dla praw i wolności wynikające z zidentyfikowanych podatności? Pamiętaj, że prawa i wolności należy rozumieć szeroko - nie tylko jako prawo do prywatności i ochrony danych, ale także inne prawa podstawowe. Np. brak odpowiednich zabezpieczeń czy brak świadomości pracowników może doprowadzić do bezpowrotnej utraty danych, co z kolei może prowadzić do frustracji, szkody majątkowej, a brak obowiązku informacyjnego może prowadzić do niezrozumienia, dlaczego dane są przetwarzane przez daną organizację, i co za tym idzie – stratę czasu związaną z identyfikacją administratora. Brak polityki retencji będzie mógł skutkować zdenerwowaniem z powodu faktu, że dane są jeszcze przetwarzane.

7Szacowanie ryzyka

LEGENDA

W oparciu o poniższą legendę oszacuj prawdopodobieństwo zagrożenia:

niskie (1): zmaterializowanie się zagrożenia w związku z wykorzystaniem podatności zasobów biorących udział w operacjach przetwarzania informacji nie wydaje się możliwe dla wybranych źródeł ryzyka (np. kradzież papierowych dokumentów przechowywanych w pokoju zabezpieczonym czytnikiem kart i kodem dostępu).

średnie (2): zmaterializowanie się zagrożenia w związku z wykorzystaniem podatności zasobów biorących udział w operacjach przetwarzania informacji wydaje się być trudne dla wybranych źródeł ryzyka (np. kradzież papierowych dokumentów przechowywanych w pokoju zabezpieczonym czytnikiem kart).

wysokie (3): zmaterializowanie się zagrożenia w związku z wykorzystaniem podatności zasobów biorących udział w operacjach przetwarzania informacji wydaje się być możliwe dla wybranych źródeł ryzyka (np. kradzież papierowych dokumentów przechowywanych w pomieszczeniach biurowych, do których wejście prowadzi przez recepcję).

bardzo wysokie (4): zmaterializowanie się zagrożenia w związku z wykorzystaniem podatności zasobów biorących udział w operacjach przetwarzania informacji wydaje się być nadzwyczaj łatwe dla wybranych źródeł ryzyka (np. kradzież dokumentów papierowych przechowywanych w publicznie dostępnym holu).

W oparciu o poniższą legendę oszacuj skutki zagrożenia dla praw i wolności osób których dane dotyczą:

(1) niskie: osoby, których dane dotyczą nie zostaną dotknięte, albo spotkają je nieliczne drobne niedogodności, które pokonają bez najmniejszych problemów (czas potrzebny na ponowne wprowadzenie danych, zniecierpliwienie, irytacja itp.).

(2) średnie: osoby, których dane dotyczą mogą napotkać znaczące niedogodności, które będą w stanie pokonać mimo pewnych trudności (dodatkowe koszty, odmowa dostępu do usług biznesowych, strach, niezrozumienie, stres, drobne fizyczne urazy itp.).

(3) wysokie: osoby, których dane dotyczą mogą napotkać znaczące następstwa, które powinny być w stanie pokonać, ale z poważnymi trudnościami (oszustwa finansowe, wpis na listę nieodsługiwanych klientów w bankach, szkody majątkowe, utrata zatrudnienia, pozwy, pogorszony stan zdrowia itp.).

(4) bardzo wysokie: osoby, których dane dotyczą mogą napotkać znaczące, a nawet nieodwracalne następstwa, których mogą nie pokonać (finansowe tarapaty takie jak niespłacony dług lub niezdolność do pracy, długotrwałe psychologiczne lub fizyczne urazy, śmierć itp.).

Zagrożenie?
Prawdopodobieństwo
Skutki
Ryzyko
Brak danych
Wybierz
1 2 3 4
Wybierz
1 2 3 4
Niskie
Brak danych
Wybierz
1 2 3 4
Wybierz
1 2 3 4
Niskie
Brak danych
Wybierz
1 2 3 4
Wybierz
1 2 3 4
Niskie
Brak danych
Wybierz
1 2 3 4
Wybierz
1 2 3 4
Niskie
Brak danych
Wybierz
1 2 3 4
Wybierz
1 2 3 4
Niskie

7Planowany sposób reakcji na ryzyko

Wskaż, w jaki sposób zamierzasz postępować ze zidentyfikowanym ryzykiem
Należy wybrać jedną z opcji:
a) Akceptacja – zaakceptowanie ryzyka w przypadku nieprzekroczenia progu akceptowalności (tj. ryzyko pozostaje niższe niż wysokie),
b) Obniżanie – minimalizacja ryzyka przy pomocy środków technicznych lub organizacyjnych (wskazane działanie jest obligatoryjne w przypadku przekroczenia progu akceptowalności ryzyka),
c) Transfer – dzielenie odpowiedzialności za zarządzanie ryzykiem z innym podmiotem (np. zlecenie firmie zewnętrznej wdrożenia zabezpieczeń lub powierzenie danych osobowych do przetwarzania na zewnętrznych, lepiej zabezpieczonych serwerach),
d) Unikanie – unikanie działań lub warunków, które powodują powstanie określonych ryzyk (np. zaniechanie wykorzystania danego zasobu do przetwarzania danych osobowych).
W zależności od wyniku analizy i wyboru sposobu postępowania z ryzykiem, należy opisać konkretne działania mające zminimalizować ryzyko, tj. wybór środków technicznych i organizacyjnych adresujących stwierdzone podatności. W celu oceny skuteczności nowych środków należy ponownie przeanalizować ryzyko; jeśli nie uda się jego zmitygowanie i pozostanie ono na poziomie wysokim, należy skorzystać z instytucji uprzednich konsultacji (art. 36 RODO) bądź zarzucić planowane przetwarzanie.
Zagrożenie?
Ryzyko
Sposób postępowania z ryzykiem
Rekomendacje
Brak danych
Niskie
Brak danych
Niskie
Brak danych
Niskie
Brak danych
Niskie
Brak danych
Niskie
Marciń Kuźniak

BEZPŁATNA KONSULTACJA

Wciąż nie wiesz, jak przeprowadzić DPIA?
Zapytaj doradcę

UMÓW TERMIN

Zastrzeżenie

Aby uzyskać miarodajny wynik oceny skutków dla ochrony danych należy wypełnić wszystkie pola formularza. Każdy aspekt dotyczący zgodności oraz bezpieczeństwa analizowanego powinien być analizowany indywidualnie, w szczególności w zakresie wykonania obowiązków określonych w art. 35 RODO. Z tego względu niniejszy formularz może stanowić co najwyżej narzędzie pomocnicze i nie może być samodzielną podstawą podejmowania decyzji przez jakikolwiek podmiot lub osobę, które korzystają z formularza na własną odpowiedzialność. ODO 24 sp. z o.o. nie ponosi odpowiedzialności względem jakiegokolwiek podmiotu lub osoby, za jakiekolwiek skutki pośrednie lub bezpośrednie korzystania z formularza, w szczególności w postaci szkód, obowiązku zapłaty odszkodowania lub zadośćuczynienia, nałożonych kar administracyjnych, utraty korzyści lub innych negatywnych konsekwencji.


Formularz DPIA

- + Co to jest DPIA w kontekście RODO?

DPIA, czyli ocena skutków dla ochrony danych (ang. Data Protection Impact Assessment) w kontekście RODO to proces, który musi zostać przeprowadzony przez administratora danych osobowych, gdy planowane jest przetwarzanie danych, które może wiązać się z wysokim ryzykiem naruszenia praw i wolności osób fizycznych.

- + Jak przeprowadzić DPIA zgodnie z RODO?

  • Opis planowanych operacji przetwarzaniato przede wszystkim odpowiedzi na pytania, w jakim celu, zakresie i czasie będą przetwarzane dane osobowe. Jeśli dla analizowanego procesu prowadzisz już rejestr czynności przetwarzania, znasz odpowiedzi na te pytania.
  • Ocena konieczności i proporcjonalnościto odpowiedź na pytanie, czy zakres przetwarzanych danych, zakres osób, których dane przetwarzamy, a także zakres odbiorców którym te dane udostępniamy, jest niezbędny z punktu widzenia celów i podstaw prawnych przetwarzania.
  • Środki planowane w celu wykazania zgodnościopisujemy przez wskazanie zabezpieczeń organizacyjnych i technicznych, a także rekomendacji dotyczących usunięcia wykrytych niezgodności.
  • Ocena ryzyka naruszenia praw i wolności osób, których dane dotyczą, obejmuje wskazanie: - jakie naruszenie może wystąpić,
    - z czego wynika możliwość wystąpienia zagrożenia (jakie są podatności),
    - jakie są możliwe skutki,
    - jaka jest waga zagrożenia,
    - jakie jest prawdopodobieństwo naruszenia,
    - jaki jest poziom ryzyka (jest to wynik mnożenia wagi i prawdopodobieństwa),
    - jakie są rekomendacje (jak zminimalizować ryzyko).
    Jeśli ryzyko jest wysokie oraz nie jesteśmy w stanie go zminimalizować, to musimy skonsultować się z Prezesem UODO (art. 36 RODO). Ryzyko jest wysokie, jeśli przekracza obiektywnie ustalony próg akceptowalności.
  • Środki planowane w celu wyeliminowania ryzykaustala się na podstawie rekomendacji wydanych w poprzednim kroku. Realizując je, najczęściej niwelujemy podatności, z których wynika możliwość wystąpienia zagrożenia.
    Przykład:
    Planuje się weryfikować informacje dostarczane przez kandydatów na etapie rozmów kwalifikacyjnych. Kandydaci zapraszani na rozmowy będą proszeni o zabranie ze sobą dyplomów i certyfikatów.
  • DokumentacjaDPIA obejmuje zapis czynności podejmowanych w ramach DPIA, jak również dowody audytowe, czyli np. kopie dokumentów potwierdzających prawdziwość ustaleń.
  • Monitorowanie i przeglądDPIA należy dokonywać zawsze, gdy występuje możliwość zmiany ryzyka naruszenia praw lub wolności osób fizycznych. W ramach dobrych praktyk, oceny skutków dla ochrony danych należy dokonywać raz w roku.

- + Kiedy jest wymagane przeprowadzenie DPIA na gruncie RODO?

Przeprowadzenie DPIA na gruncie RODO jest wymagane w określonych sytuacjach, które mogą wiązać się z wysokim ryzykiem naruszenia praw i wolności osób fizycznych. Oto niektóre z kluczowych sytuacji, w których DPIA jest wymagana:

  • Systematyczna i kompleksowa ocena osób, których dane dotyczą: W przypadku zautomatyzowanego przetwarzania danych, w tym profilowania, które służy do oceny czynników osobowych i ma znaczący wpływ na osoby fizyczne, tak jak podejmowanie zautomatyzowanych decyzji o skutkach prawnych.
  • Przetwarzanie na dużą skalę danych osobowych szczególnej kategorii: W przypadku przetwarzania np. danych dotyczących zdrowia, orientacji seksualnej, przekonań religijnych, danych biometrycznych czy genetycznych.
  • Systematyczne monitorowanie (na dużą skalę) miejsc dostępnych publicznie: Dla przykładu wykorzystanie kamer monitoringu w miejscach publicznych na dużą skalę.
  • Wykaz organu nadzorczego: Właściwy organ nadzorczy może także określić wykaz rodzajów przetwarzania, które wymagają DPIA w danym państwie członkowskim.
  • Spełnienie co najmniej 2 kryteriów WP248: Grupa Robocza Art. 29 (obecnie EROD) wyznaczyła 9 kryteriów (kryteria WP248), które mają pomóc ocenić ryzyko. Spełnienie co najmniej 2 z tych kryteriów zazwyczaj będzie wiązało się z obowiązkiem przeprowadzenia DPIA.

- + Jak często powinienem przeprowadzać DPIA a zgodnie z RODO?

DPIA, podobnie jak analiza ryzyka, powinna być przeprowadzana regularnie, niemniej nie ma konkretnego harmonogramu, który określa, jak często należy przeprowadzać DPIA, ponieważ będzie to zależało od zmian w operacjach przetwarzania, specyfiki organizacji, rodzajów danych, które przetwarza, i sektora, w którym działa.

W każdym razie DPIA należy przeprowadzić przed rozpoczęciem przetwarzania, z którym może się wiązać wysokie ryzyko.

- + Jakie są konsekwencje nieprzeprowadzenia DPIA na gruncie RODO?

Nieprzeprowadzenie DPIA tam, gdzie jest to wymagane przez RODO, będzie stanowić naruszenie RODO.

Dalszymi konsekwencjami wynikającymi z naruszenia RODO mogą być m.in.: naruszenie praw osób, których dane dotyczą; kary finansowe, uszczerbek na reputacji firmy, koszty obsługi prawnej związanej z postępowaniami administracyjnymi i sądowymi

- + Czy małe firmy również muszą przeprowadzać DPIA zgodnie z RODO?

Tak, wymagania RODO odnoszą się do wszystkich organizacji przetwarzających dane osobowe obywateli Unii Europejskiej, niezależnie od ich wielkości. To oznacza, że małe firmy muszą również przeprowadzać DPIA w sytuacjach tego wymagających, a więc jeśli przetwarzanie danych, w którym biorą udział, może wiązać się z wysokim ryzykiem naruszenia praw i wolności osób fizycznych.

- + Jakie narzędzia mogę wykorzystać do przeprowadzenia DPIA na gruncie RODO?

Do przeprowadzenia DPIA na gruncie RODO można wykorzystać różne narzędzia. Wybór konkretnego narzędzia będzie zależał od wielu czynników, takich jak specyfika organizacji, rodzaj przetwarzanych danych i związanych z nimi ryzyk.

Przykładem narzędzia może być arkusz kalkulacyjny (np. w programie Excel), , ale możliwe jest również skorzystanie z dedykowanych narzędzi do DPIA, które mogą pomóc w systematycznym przeprowadzaniu i dokumentowaniu tego procesu.

- + Kto powinien przeprowadzić DPIA na gruncie RODO w mojej organizacji?

DPIA powinna być przeprowadzana przez osoby odpowiedzialne za ochronę danych w Twojej organizacji. Oto przykłady różnych osób, które mogą być zaangażowane w ten proces:

  • Inspektor ochrony danych (IOD): Zgodnie z art. 35 ust. 2 RODO, administrator konsultuje się z inspektorem ochrony danych, jeśli został wyznaczony. Do zadań IOD należy udzielanie zaleceń co do DPIA i monitorowania jego wykonania
  • Kierownictwo: Często wymagane jest zaangażowanie najwyższego kierownictwa, zwłaszcza jeśli DPIA ryzyka może wpływać na strategiczne decyzje dotyczące przetwarzania danych.
  • Zespół ds. Bezpieczeństwa i Ochrony Danych: Specjaliści od bezpieczeństwa i ochrony danych mają niezbędną wiedzę i umiejętności, aby pomóc w DPIA.
  • Prawnicy/Zespół Prawny: Eksperci prawni mogą dostarczyć niezbędnej wiedzy na temat zgodności z prawem i wymogów regulacyjnych.
  • Dostawcy i Podwykonawcy: Jeśli przetwarzanie danych jest przekazywane dostawcom zewnętrznym, mogą oni również być zaangażowani w proces DPIA, aby zapewnić pełne zrozumienie ryzyka i środków bezpieczeństwa.

Firmy mogą zdecydować się na zewnętrzne wsparcie, takie jak outsourcing RODO, aby pomóc w przeprowadzeniu analizy ryzyka, w szczególności, jeśli nie mają odpowiednich zasobów lub specjalistycznej wiedzy technicznej.

- + Jak mogę ocenić skuteczność przeprowadzonej DPIA na gruncie RODO?

Skuteczność DPIA można weryfikować poprzez wiele działań:

  • Przestrzeganie wytycznych i ram oceny: Należy upewnić się, że DPIA została przeprowadzona zgodnie z wytycznymi i ramami określonymi przez organ nadzorczy oraz że zastosowano standardy branżowe tam, gdzie to możliwe.
  • Ocena środków zaradczych: Należy sprawdzić, czy zalecane środki zaradcze zostały wdrożone i czy są skuteczne w zmniejszaniu zidentyfikowanych ryzyk. Można to zrobić przeprowadzając regularne audyty i testy.
  • Konsultacja z personelem: Warto przeprowadzić konsultację z personelem, w tym z Inspektorem Ochrony Danych (IOD), zespołem prawnym, działem IT i innymi kluczowymi działami, aby zrozumieć ich perspektywę na skuteczność DPIA.
  • Analiza skarg i zgłoszeń: Należy monitorować wszelkie skargi i zgłoszenia od osób, których dane dotyczą, aby zrozumieć, czy występują jakiekolwiek problemy związane z przetwarzaniem danych, które mogłyby wskazywać na nieodpowiednią skuteczność DPIA.
  • Regularna aktualizacja: Środowisko regulacyjne i technologiczne się zmienia, więc regularna aktualizacja DPIA może pomóc w utrzymaniu jej skuteczności.
  • Dokumentacja: Konieczne jest utrzymanie kompletnej i szczegółowej dokumentacji DPIA, w tym zidentyfikowanych ryzyk, środków zaradczych, konsultacji i decyzji. Dokumenty te będą stanowić dowód zgodności w razie kontroli przez organ nadzorczy.
  • Audyty: Przeprowadzanie regularnych wewnętrznych i zewnętrznych audytów może dostarczyć niezależnej oceny skuteczności DPIA.

Ocena skuteczności DPIA powinna być procesem ciągłym, a nie jednorazowym działaniem. Regularne przeglądy i aktualizacje są kluczem do utrzymania skutecznego tego procesu.

Administratorem Twoich danych jest ODO 24 sp. z o.o. z siedzibą w Warszawie (03-812) przy ul. Kamionkowskiej 45. Twoje dane są przetwarzane w celu świadczenia usługi biuletyn informacyjny na zasadach określonych w Regulaminie ŚUDE. Więcej informacji na temat procesu przetwarzania danych osobowych oraz przysługujących Ci praw uzyskasz w Polityce prywatności.
Potwierdź swój adres e-mail
Wejdź na swoją skrzynkę pocztową, otwórz wiadomość od ODO 24 i potwierdź adres e-mail, klikając w link.
Jeżeli nie znajdziesz naszej wiadomości - sprawdź w folderze SPAM. Aby w przyszłości to się nie powtórzyło oznacz wiadomość jako pożądaną (klikniknij prawym przyciskiem myszy i wybierz “Oznacz jako wiadomość pożądaną”).
Odbierz bezpłatny pakiet 4 poradników
i 4 szkoleń e-learningowych RODO
4x4 - Odbierz bezpłatny pakiet 4 poradników i 4 szkoleń RODO
Administratorem Twoich danych jest ODO 24 sp. z o.o. z siedzibą w Warszawie (03-812) przy ul. Kamionkowskiej 45. Twoje dane są przetwarzane w celu świadczenia usługi biuletyn informacyjny na zasadach określonych w Regulaminie ŚUDE. Więcej informacji na temat procesu przetwarzania danych osobowych oraz przysługujących Ci praw uzyskasz w Polityce prywatności.
Administratorem Twoich danych jest ODO 24 sp. z o. o. >>>