Narzędzie RODO dla IOD - Formularz Pre-DPIA

Formularz Pre-DPIA

Ten formularz pomoże ci ustalić, czy analizowany proces wymaga przeprowadzenia DPIA

Zastanawiasz się, które operacje przetwarzania prowadzone przez Twoją organizację wymagają przygotowania oceny skutków dla ochrony danych (DPIA)? Mamy coś, co pomoże Ci rozstrzygnąć te wątpliwości. Stworzyliśmy specjalne narzędzie, które na podstawie wytycznych Europejskiej Rady Ochrony Danych (WP 248) oraz publikacji zagranicznych organów nadzorczych udziela jednoznacznej odpowiedzi na to zawiłe pytanie. Wykorzystaj je do tego, by w pełni zrozumieć, które operacje przetwarzania mogą stanowić potencjalne zagrożenie dla osób, których dane dotyczą, a w związku z tym – zasługują na dogłębną analizę.

Sprawdź, czy operacja przetwarzania wymaga DPIA

Za chwilę zapoznasz się z dziewięcioma kryteriami, przez pryzmat których ocenisz, czy analizowany przez Ciebie proces wiąże się z wysokim ryzykiem naruszenia praw i wolności osób fizycznych. Jeżeli na co najmniej dwa pytania odpowiesz „tak”, to przeprowadzenie DPIA dla Twojej operacji przetwarzania danych będzie obowiązkowe. Pamiętaj, że istnieją operacje przetwarzania spełniające tylko jedno z wymienionych kryteriów, a mimo to wymagające przeprowadzenia DPIA. W szczególności dotyczy to operacji przetwarzania ujawnionych w wykazach opublikowanych przez europejskie organy nadzorcze

Zastrzeżenie

W celu uzyskania wiarygodnego wyniku oceny, czy zachodzi konieczność przeprowadzenia oceny skutków dla ochrony danych (DPIA), zaleca się uważne i kompleksowe wypełnienie wszystkich pól tego narzędzia. Każdy element, w tym ryzyko dla praw i wolności osób fizycznych, powinien być rozważany z należytą starannością, zgodnie z wymogami określonymi w art. 35 RODO. Z tego względu niniejszy formularz może stanowić co najwyżej narzędzie pomocnicze i nie może być samodzielną podstawą podejmowania decyzji przez jakikolwiek podmiot lub jakąkolwiek osobę, które korzystają z formularza na własną odpowiedzialność. ODO 24 sp. z o.o. nie ponosi odpowiedzialności względem jakiegokolwiek podmiotu lub jakiejkolwiek osoby za jakiekolwiek skutki pośrednie lub bezpośrednie korzystania z formularza, w szczególności w postaci szkód, obowiązku zapłaty odszkodowania lub zadośćuczynienia, nałożonych kar administracyjnych, utraty korzyści lub innych negatywnych konsekwencji.

- + Co to jest DPIA?

DPIA (Data Protection Impact Assessment), czyli ocena skutków dla ochrony danych, to proces, który pomaga organizacjom zidentyfikować i zminimalizować ryzyko związane z przetwarzaniem danych osobowych.

Zgodnie z RODO DPIA jest wymagana wtedy, gdy jest prawdopodobne, że przetwarzanie danych spowoduje wysokie ryzyko dla praw i wolności osób fizycznych. DPIA jest użytecznym narzędziem do budowania i demonstracji zgodności z RODO. Powinno to obejmować przegląd projektów, w których są przetwarzane dane osobowe, ocenę ryzyka dla praw osób, których te dane dotyczą, oraz określenie środków, które mogą być zastosowane w celu zmniejszenia tego ryzyka.

- + Kiedy trzeba przeprowadzić DPIA?

Zgodnie z RODO konieczność przeprowadzenia oceny skutków dla ochrony danych (DPIA) pojawia się wtedy, gdy planowane przetwarzanie danych osobowych może wiązać się z wysokim ryzykiem dla praw i wolności osób fizycznych. RODO wskazuje trzy sytuacje, w których DPIA jest szczególnie wymagana:

systematyczna, kompleksowa ocena czynników osobowych odnoszących się do osób fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i jest podstawą decyzji wywołujących skutki prawne wobec osoby fizycznej lub w podobny sposób znacząco wpływających na osobę fizyczną;
przetwarzanie na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO, lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych, o czym mowa w art. 10 RODO;
systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie.

- + Kto robi DPIA?

Ocena skutków dla ochrony danych (DPIA) jest przeprowadzana przez administratora danych. To administrator danych jest odpowiedzialny za zapewnienie tego, że przetwarzanie danych jest zgodne z prawem, co obejmuje przeprowadzenie DPIA wtedy, gdy jest to wymagane.

Chociaż to sam administrator danych jest odpowiedzialny za przeprowadzenie DPIA, może on zaangażować inne osoby, np. doradców ds. ochrony danych, zewnętrznych konsultantów czy inspektorów ochrony danych, aby pomogły mu w tym procesie. Istotne jest to, aby wszyscy zaangażowani mieli odpowiednie doświadczenie i wiedzę, aby dokonać właściwej oceny ryzyka związanego z przetwarzaniem danych.

W wielu przypadkach inspektor ochrony danych odgrywa kluczową rolę w przeprowadzaniu DPIA. Może on doradzać w podejmowaniu decyzji, czy DPIA jest wymagana, nadzorować jej przeprowadzenie i zagwarantować, że zostały podjęte odpowiednie kroki, aby zminimalizować ryzyko dla praw i wolności osób, których dane dotyczą.

Podsumowując, chociaż odpowiedzialność za przeprowadzenie DPIA spoczywa na administratorze danych, proces ten może być przeprowadzany przez różne osoby lub zespoły w zależności od struktury i zasobów organizacji.

- + Czy RODO wymaga, aby dla każdej operacji przetwarzania została przeprowadzona ocena skutków dla ochrony danych?

Nie, RODO nie wymaga, aby dla każdej operacji przetwarzania danych została przeprowadzona ocena skutków dla ochrony danych (DPIA). DPIA jest wymagana tylko wtedy, gdy planowane przetwarzanie danych osobowych „prawdopodobnie spowoduje wysokie ryzyko naruszenia praw i wolności osób fizycznych”.

W szczególności RODO wymienia trzy rodzaje operacji przetwarzania, które zazwyczaj wymagają DPIA:

systematyczna, kompleksowa ocena czynników osobowych odnoszących się do osób fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i jest podstawą decyzji wywołujących skutki prawne wobec osoby fizycznej lub w podobny sposób znacząco wpływających na osobę fizyczną;
przetwarzanie na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1 RODO, lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych, o czym mowa w art. 10 RODO;
systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie.

- + Czy procesor danych musi przeprowadzić DPIA?

Zgodnie z RODO odpowiedzialność za przeprowadzenie oceny skutków dla ochrony danych (DPIA) leży po stronie administratora danych, a nie procesora. Administrator danych to podmiot, który określa cele i środki przetwarzania danych osobowych, podczas gdy procesor przetwarza dane na podstawie instrukcji administratora.

Jednak w praktyce procesor danych może być zaangażowany w proces DPIA i może dostarczyć cennych informacji, które pomogą administratorowi zrozumieć, jakie ryzyka są związane z przetwarzaniem i jak je zminimalizować. Procesorzy danych mogą wnieść istotny wkład w proces DPIA dzięki swojej ekspertyzie i posiadanemu doświadczeniu w obszarze technologii i operacji przetwarzania danych.

- + Jak często należy przeprowadzać DPIA?

Ocena skutków dla ochrony danych (DPIA) powinna być przeprowadzana przed rozpoczęciem nowego rodzaju przetwarzania danych, które prawdopodobnie spowoduje wysokie ryzyko dla praw i wolności osób fizycznych.

W szczególności DPIA powinna być przeprowadzana wtedy, gdy planowane jest wdrożenie nowych technologii, nowych form przetwarzania danych, a także gdy zmienia się kontekst, natura, zakres, cel przetwarzania lub ryzyko związane z przetwarzaniem danych.

Ponadto DPIA powinna być traktowana jako „żywy dokument”, co oznacza, że powinna być przeglądana i aktualizowana regularnie, szczególnie wtedy, gdy zmieniają się okoliczności przetwarzania danych. RODO nie określa jednak konkretnych terminów przeglądania DPIA.

- + Jak rozumieć podejście oparte na ryzyku, o którym mowa w RODO?

Podejście oparte na ryzyku w kontekście RODO oznacza, że organizacje muszą podejmować działania związane z ochroną danych, które są proporcjonalne do poziomu ryzyka, jakie niesie ze sobą przetwarzanie danych osobowych.

Ryzyko to potencjał naruszenia praw i wolności osób fizycznych związany z przetwarzaniem ich danych osobowych. Może to obejmować np. ryzyko naruszenia prywatności, ryzyko finansowe, ryzyko reputacji, a w niektórych przypadkach nawet ryzyko fizyczne. Poziom ryzyka może się różnić w zależności od wielu czynników, takich jak rodzaj przetwarzanych danych, sposób, w jaki są one przetwarzane, czy liczba osób, których dane są przetwarzane.

Podejście oparte na ryzyku oznacza, że organizacje muszą najpierw ocenić te ryzyka (np. dzięki przeprowadzeniu oceny skutków dla ochrony danych – DPIA), a następnie podjąć odpowiednie kroki, aby zminimalizować je do akceptowalnego poziomu. To może obejmować różne środki, takie jak zabezpieczenia techniczne (np. szyfrowanie), zabezpieczenia organizacyjne (np. szkolenia pracowników) i inne.

Podejście oparte na ryzyku oznacza, że nie wszystkie formy przetwarzania danych wymagają takich samych środków ochrony. Przykładowo przetwarzanie danych szczególnie wrażliwych, takich jak dane zdrowotne, może wymagać większej ochrony niż przetwarzanie mniej wrażliwych danych, jak imiona i adresy e-mail.

- + Jak długo należy przechowywać wyniki DPIA?

RODO nie określa konkretnego okresu przechowywania wyników oceny skutków dla ochrony danych (DPIA). Jednak zgodnie z ogólnymi zasadami RODO dotyczącymi rozliczalności wyniki DPIA powinny być przechowywane przez cały okres przetwarzania danych, do którego odnoszą się te wyniki.

Jest to konieczne, ponieważ wyniki DPIA mogą być wymagane do wykazania zgodności z RODO, np. w przypadku inspekcji przeprowadzanej przez Prezesa Urzędu Ochrony Danych Osobowych. Ponadto, ponieważ RODO wymaga regularnego przeglądu i aktualizacji DPIA, przechowywanie wyników poprzednich ocen może być przydatne w celu śledzenia zmian ryzyka związanego z przetwarzaniem danych i skuteczności zastosowanych środków zaradczych.