SZODO

Narzędzie · art. 35 RODO

Czy potrzebna jest ocena skutków (DPIA)?

Zanim przystąpi się do oceny skutków, trzeba sprawdzić, czy w ogóle jest wymagana. Kalkulator prowadzi przez to samo badanie, od którego zaczyna się DPIA w SZODO: przesłanki z art. 35 RODO i dwanaście kryteriów z wykazu Prezesa UODO (M.P. 2019 poz. 666). Bez rejestracji, bez e-maila i bez limitu użyć.

w przeglądarceżadna odpowiedź nie idzie na serwer
wykaz UODOwszystkie 12 pozycji z przykładami
wynik od razuwymagana, do decyzji albo niewymagana

▶ Film: jak skorzystać z kalkulatora na trzech przykładach (2 min 11 s) ›

Jak liczy wynik

Przesłanka z art. 35 RODO sama przesądza, że ocena jest wymagana. Jeśli żadnej nie ma, liczą się kryteria z wykazu: dwa lub więcej — ocena co do zasady wymagana, jedno — decyzję podejmuje administrator i ją uzasadnia, żadne — ocena niewymagana. Wynik analizy ryzyka też się liczy: gdy wykazała ryzyko wysokie, ocena jest obowiązkowa.

Czego nie robi — i dlaczego

Nie tworzy dokumentu. Nie zapisuje odpowiedzi i nie pamięta niczego po odświeżeniu strony. A wynik — także „niewymagana” — trzeba umieć wykazać (art. 5 ust. 2 RODO): z datą, wskazaniem czynności przetwarzania i uzasadnieniem. To jest zadanie aplikacji, nie strony.

Krok 1 — przesłanki z art. 35 RODO

Cztery pytania. Odpowiedź „tak” na którekolwiek oznacza, że ocena skutków jest wymagana.

Analiza ryzyka wykazała, że przetwarzanie może powodować wysokie ryzyko naruszenia praw lub wolności osób (art. 35 ust. 1 RODO)

Zaznacz, gdy analiza ryzyka tej czynności (moduł AR) dała ryzyko wysokie lub krytyczne, którego nie udało się obniżyć zabezpieczeniami.

Systematyczna, kompleksowa ocena czynników osobowych, oparta na zautomatyzowanym przetwarzaniu (w tym profilowaniu), będąca podstawą decyzji wywołujących wobec osoby skutki prawne lub w podobny sposób istotnie na nią wpływających (art. 35 ust. 3 lit. a RODO)

Np. automatyczne przyznawanie lub odmowa świadczenia na podstawie punktacji, scoring kredytowy.

Przetwarzanie na dużą skalę szczególnych kategorii danych (art. 9 ust. 1 RODO) lub danych dotyczących wyroków skazujących i naruszeń prawa (art. 10 RODO) (art. 35 ust. 3 lit. b RODO)

Np. dokumentacja medyczna szpitala, rejestr niepełnosprawności w skali powiatu, dane o karalności kandydatów w dużej rekrutacji.

Systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie (art. 35 ust. 3 lit. c RODO)

Np. miejski monitoring ulic i placów, monitoring komunikacji publicznej.

Krok 2 — wykaz Prezesa UODO

Zaznacz kryteria, które spełnia przetwarzanie — może nie być żadnego. Przykłady pochodzą z wykazu (komunikat z 17 czerwca 2019 r., M.P. 2019 poz. 666) i mają charakter wyłącznie ilustracyjny.

Wynik jest gotowy. Co dalej

Kalkulator odpowiada na pytanie „czy trzeba robić DPIA”. Podczas kontroli pada jednak drugie: czym Pan to wykaże. Badanie konieczności — także z wynikiem „niewymagana” — powinno zostać w dokumentacji z datą, wskazaniem czynności przetwarzania, której dotyczy, i uzasadnieniem, a po istotnej zmianie przetwarzania trzeba je powtórzyć (art. 35 ust. 11 RODO).

W SZODO od tego badania zaczyna się każda ocena skutków. Gdy ocena jest niewymagana, badanie zostaje w rejestrze jako dokument PDF i widać je na karcie czynności w rejestrze czynności przetwarzania. Gdy jest wymagana — aplikacja prowadzi dalej przez pełną DPIA: opis przetwarzania, konsultacje, niezbędność, ocenę ryzyka i decyzję. Można to sprawdzić bez zakładania konta.

Zobacz ocenę skutków w demonstracji Jak przeprowadza się DPIA

Najczęstsze pytania

Kiedy ocena skutków dla ochrony danych (DPIA) jest obowiązkowa?

Gdy przetwarzanie z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób (art. 35 ust. 1 RODO). Zawsze w trzech przypadkach z art. 35 ust. 3 — przy systematycznej, zautomatyzowanej ocenie osób będącej podstawą decyzji, przy przetwarzaniu na dużą skalę danych szczególnych kategorii lub o wyrokach i przy systematycznym monitorowaniu na dużą skalę miejsc dostępnych publicznie — oraz co do zasady wtedy, gdy przetwarzanie spełnia co najmniej dwa kryteria z wykazu Prezesa UODO.

Co to jest wykaz Prezesa UODO?

To ogłoszona w komunikacie z 17 czerwca 2019 r. (M.P. 2019 poz. 666) lista dwunastu rodzajów operacji przetwarzania wymagających oceny skutków, wydana na podstawie art. 35 ust. 4 RODO. Opiera się na wytycznych WP248 i dodaje do nich m.in. dane biometryczne, genetyczne i lokalizacyjne. Przykłady w wykazie mają charakter wyłącznie ilustracyjny.

Co zrobić, gdy spełnione jest tylko jedno kryterium z wykazu?

Wykaz zostawia wtedy decyzję administratorowi: w niektórych przypadkach może on uznać, że ocena skutków jest wymagana także przy jednym kryterium. Decyzję trzeba umieć uzasadnić — najlepiej na piśmie, z opisem, dlaczego ryzyko jest albo nie jest wysokie.

Czy wynik „DPIA niewymagana” trzeba udokumentować?

Tak. Rozliczalność z art. 5 ust. 2 RODO oznacza, że administrator musi wykazać, że konieczność oceny sprawdził — także wtedy, gdy wyszło, że oceny nie trzeba. Kalkulator niczego nie zapisuje; w SZODO takie badanie zostaje w rejestrze jako dokument z datą i podpisem.