Kalkulator testu równowagi

Czy jest Pan organem publicznym, a to przetwarzanie następuje w ramach realizacji zadań tego organu?

Art. 6 ust. 1 zdanie drugie RODO wyłącza lit. f wobec przetwarzania dokonywanego przez organy publiczne w ramach realizacji ich zadań. Poza zakresem zadań — na przykład przy prowadzeniu fanpage’a albo dochodzeniu roszczeń — organ publiczny z tej podstawy skorzystać może.

Tak — jestem organem publicznym i działam w ramach swoich zadań Nie — nie jestem organem publicznym albo to przetwarzanie leży poza moimi zadaniami

Czy interes, na który chce się Pan powołać, jest rzeczywisty i aktualny?

Interes nie może być hipotetyczny ani odłożony w bliżej nieokreśloną przyszłość. Musi istnieć w chwili przetwarzania i wynikać z prowadzonej albo planowanej działalności.

Tak — potrafię go wskazać i uzasadnić na dziś Nie — jest raczej przypuszczeniem niż interesem

Czy to przetwarzanie ma już inną właściwą podstawę z art. 6 ust. 1?

Obowiązek prawny (lit. c), wykonanie umowy (lit. b) albo zadanie realizowane w interesie publicznym (lit. e). Prawnie uzasadniony interes nie jest podstawą zapasową dla przetwarzania, które ma już własną.

Tak — mieści się w innej przesłance Nie — żadna inna przesłanka tego nie obejmuje

Czy przetwarzanie jest konieczne do osiągnięcia tego celu?

Czy celu nie da się osiągnąć w sposób, który w dane osobowe w ogóle nie wkracza.

Tak Nie — cel da się osiągnąć inaczej

Czy wszystkie przetwarzane dane są do tego celu niezbędne?

Zasada minimalizacji. Nadmiarowa kategoria danych psuje wynik całego testu, a nie tylko własny fragment.

Tak Nie — zakres da się zawęzić

Czy okres przechowywania nie wykracza poza to, co niezbędne?

Okres musi być wyznaczony i wynikać z celu, a nie z tego, że nikt nie ustalił, kiedy usuwać.

Tak Nie — dane leżą dłużej, niż trzeba

Jak ważny jest interes, który Pan realizuje?

Znikomy — usprawnienie wewnętrznej pracy, dające się osiągnąć inaczej niewielkim kosztem Umiarkowany — realny interes gospodarczy lub organizacyjny administratora Istotny — wskazany wprost w motywach RODO albo chroniony przepisami (roszczenia, marketing bezpośredni, bezpieczeństwo sieci) Kluczowy — obejmujący także osoby trzecie lub dobro wspólne (bezpieczeństwo osób i mienia, ochrona życia i zdrowia)

Jakich danych dotyczy to przetwarzanie?

Podstawowych — dane identyfikacyjne lub kontaktowe w wąskim zakresie Rozszerzonych — szerszy zestaw danych zwykłych, pozwalający zbudować ogólny obraz osoby Podwyższonego ryzyka — finansowych, lokalizacyjnych, behawioralnych, numeru PESEL Szczególnych kategorii — art. 9 RODO albo dane o wyrokach z art. 10 RODO

Czy osoba w chwili zbierania danych mogła spodziewać się takiego przetwarzania?

Oczywiście tak — wynika wprost z relacji z administratorem Prawdopodobnie — mieści się w oczekiwaniach, choć nie zostało wprost zapowiedziane Wątpliwe — osoba może się takiego przetwarzania nie spodziewać Zaskakujące — dane pozyskane bez wiedzy osoby, cel odbiegający od pierwotnego

Jak dotkliwe mogą być dla osoby skutki tego przetwarzania?

Znikome — osoba nie odczuje skutków albo napotka drobne niedogodności Odczuwalne — niedogodności, które pokona bez większego trudu Znaczące — utrata kontroli nad danymi, ryzyko nierównego traktowania, straty finansowe Dotkliwe — skutki poważne, a nawet nieodwracalne

Które zabezpieczenia są już wdrożone?

Wyłącznie wdrożone, nie zaplanowane. Środek, który dopiero ma powstać, niczego jeszcze nie zmniejsza — a zaznaczony zawyża wynik. To najczęstszy błąd w testach, które na papierze wypadają dobrze. Zabezpieczenia mogą zdjąć najwyżej połowę tego, co jest do zdjęcia: przechylają ważenie, ale nie sprawiają, że przetwarzanie przestaje osoby dotykać.

Zakres danych ograniczony do niezbędnego minimum Określony i krótki okres przechowywania danych Pseudonimizacja, szyfrowanie lub agregacja danych Dostęp wyłącznie dla osób upoważnionych, z rejestrowaniem operacji Łatwa możliwość wniesienia sprzeciwu lub rezygnacji Cykliczny przegląd zasadności przetwarzania