Czy najpierw wykonuje się analizę ryzyka, a dopiero potem DPIA (ocenę skutków dla ochrony danych)?
ODPOWIEDŹ
Ogólna analiza ryzyka (wynikająca z art. 32 RODO) oraz ocena skutków dla ochrony danych (DPIA, art. 35 RODO) to dwa odrębne od siebie procesy, różniące się celem, zakresem, odpowiedzialnością oraz momentem realizacji.
Ogólna analiza ryzyka (art. 32 RODO):
- Jest procesem uniwersalnym i obowiązkowym dla każdego procesu przetwarzania danych, całkowicie niezależnie od początkowego poziomu ryzyka.
- Jej głównym celem jest ustalenie, dobór i zdefiniowanie niezbędnych (adekwatnych) środków bezpieczeństwa.
- Ma charakter procesu ciągłego, realizowanego na każdym etapie cyklu życia danych.
- Wykonuje ją zarówno administrator, jak i podmiot przetwarzający.
Ocena skutków dla ochrony danych (DPIA, art. 35 RODO):
- Jest procesem wyjątkowym, któremu podlegają jedynie te procesy przetwarzania, co do których wstępna weryfikacja (pre-DPIA) wykaże, że z dużym prawdopodobieństwem mogą skutkować wysokim ryzykiem dla praw i wolności osób fizycznych.
- Jej celem nie jest standardowy dobór zabezpieczeń, ale przede wszystkim upewnienie się i potwierdzenie, że planowany proces biznesowy pozostaje zgodny z RODO (compliance) oraz gwarantuje bezpieczeństwo danych (security).
- Musi zostać zrealizowana bezwzględnie przed rozpoczęciem czynności przetwarzania i wykonuje ją wyłącznie administrator.
- W przypadku, gdy po opracowaniu DPIA i wdrożeniu zaplanowanych w niej środków ryzyko szczątkowe nadal pozostaje wysokie, proces ten wymusza podjęcie kolejnych, odrębnych kroków, czyli uprzednich konsultacji z organem nadzorczym (zgodnie z art. 36 RODO).
