Kiedy trzeba zrobić ocenę skutków (DPIA)

Kiedy ocena jest obowiązkowa

Zasada ogólna z art. 35 ust. 1 RODO: ocenę przeprowadza się, gdy dany rodzaj przetwarzania — w szczególności z użyciem nowych technologii — ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób.

Art. 35 ust. 3 wymienia trzy przypadki, w których ocena jest wymagana zawsze:

1. Systematyczna, kompleksowa ocena czynników osobowych opierająca się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, będąca podstawą decyzji wywołujących skutki prawne lub podobnie znacząco wpływających na osobę.
2. Przetwarzanie na dużą skalę szczególnych kategorii danych (art. 9 ust. 1) lub danych dotyczących wyroków skazujących i czynów zabronionych (art. 10).
3. Systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie.

Do tego dochodzi wykaz rodzajów operacji podlegających ocenie, ogłoszony przez Prezesa UODO na podstawie art. 35 ust. 4. Wykaz jest krótki, konkretny i warto go sprawdzić, zanim uzna się, że obowiązku nie ma — obejmuje m.in. operacje z użyciem danych biometrycznych, monitoring pracowników czy przetwarzanie danych geolokalizacyjnych.

Praktyczna wskazówka: pojedyncza cecha rzadko przesądza sprawa. Ryzyko rośnie kumulatywnie — przetwarzanie danych o zdrowiu, na dużą skalę, z automatyczną decyzją i wobec osób w słabszej pozycji to cztery czynniki naraz.

Ocena skutków a analiza ryzyka

To dwa różne dokumenty, których mylenie jest najczęstszym błędem w tym obszarze:

Ocena skutków korzysta z analizy ryzyka, ale jej nie zastępuje — i odwrotnie. Dokument nazwany „DPIA”, który opisuje wyłącznie zabezpieczenia serwerowni, nie jest oceną skutków.

Co musi zawierać ocena

Art. 35 ust. 7 wymienia cztery elementy — i tylko cztery. Ocena, która ich nie ma, nie jest oceną skutków, choćby liczyła czterdzieści stron:

1. Systematyczny opis planowanych operacji przetwarzania i ich celów, w tym — gdy ma to zastosowanie — prawnie uzasadnionych interesów administratora.
2. Ocena, czy operacje są niezbędne i proporcjonalne w stosunku do celów. To jest część pomijana najczęściej, a merytorycznie najważniejsza: pyta, czy celu nie da się osiągnąć mniej inwazyjnie.
3. Ocena ryzyka naruszenia praw lub wolności osób, których dane dotyczą.
4. Środki planowane w celu zaradzenia ryzyku — w tym zabezpieczenia i mechanizmy mające zapewnić ochronę danych i wykazać przestrzeganie RODO.

Jeżeli wyznaczono inspektora ochrony danych, administrator zasięga jego opinii (ust. 2). Gdy jest to stosowne, administrator zasięga też opinii osób, których dane dotyczą, lub ich przedstawicieli (ust. 9) — w praktyce dotyczy to zwłaszcza przetwarzania w miejscu pracy.

Jak ją przeprowadzić — sześć kroków

1. Opisz przetwarzanie. Cel, zakres danych, kategorie osób, odbiorcy, okres przechowywania, technologia. Odsyłacz do wpisu w rejestrze czynności oszczędza tu połowę pracy.
2. Sprawdź niezbędność i proporcjonalność. Czy cel da się osiągnąć mniejszym zakresem danych, krótszym okresem, bez profilowania.
3. Zidentyfikuj zagrożenia dla praw i wolności — nie tylko wyciek, ale też dyskryminację, utratę kontroli nad danymi, ograniczenie dostępu do usługi czy stygmatyzację.
4. Oceń ryzyko — prawdopodobieństwo i skutek dla każdego zagrożenia.
5. Zaplanuj środki i oceń ryzyko ponownie, już po ich zastosowaniu.
6. Rozstrzygnij: czy ryzyko szczątkowe jest akceptowalne, czy konieczne są uprzednie konsultacje.

Ocenę należy weryfikować, gdy zmienia się ryzyko związane z przetwarzaniem (ust. 11). Zmiana systemu, dołożenie nowej kategorii danych albo rozszerzenie na nową grupę osób są takim momentem.

Gdy ryzyko pozostaje wysokie

Art. 36 ust. 1: jeżeli ocena wskazuje, że przetwarzanie powodowałoby wysokie ryzyko gdyby administrator nie zastosował środków w celu jego zminimalizowania, przed rozpoczęciem przetwarzania należy skonsultować się z organem nadzorczym.

Konsultacja nie jest wnioskiem o zgodę i nie kończy się decyzją administracyjną — organ ma czas na udzielenie pisemnej opinii i może skorzystać ze swoich uprawnień naprawczych. W praktyce sytuacja jest rzadka, bo dobrze dobrane środki zwykle sprowadzają ryzyko poniżej progu. Ale jeżeli wystąpi, rozpoczęcie przetwarzania bez konsultacji jest osobnym naruszeniem, niezależnym od samego przetwarzania.

Najczęstsze pytania

W praktyce

Jak wygląda ocena skutków w SZODO

DPIA prowadzi się w SZODO jako kreator w sześciu krokach, z których każdy zapisuje się od razu — ocenę wypełnia się zwykle przez kilka dni i można wrócić do niej w dowolnym momencie. Kroki odpowiadają czterem elementom z art. 35 ust. 7, więc gotowy dokument ma strukturę wymaganą przepisem.

Ocena wiąże się z konkretną czynnością z rejestru z art. 30, korzysta z tego samego silnika oceny ryzyka co analiza ryzyka i kończy się raportem PDF do podpisu. W podglądzie czynności przetwarzania widać, czy ocena dla niej istnieje i jaki był jej wynik — więc luki widać z rejestru, a nie dopiero z pamięci.

Ryzyko liczone na Twoich aktywach, nie na cudzych

Ocena ryzyka opiera się na czterech listach, które każdy administrator danych ma własne: aktywa, zagrożenia, podatności i zabezpieczenia. To rozstrzygnięcie merytoryczne, a nie techniczne — urząd gminy, przychodnia i firma produkcyjna mają inne zasoby i inne słabości, więc ocena prowadzona na cudzej liście opisuje cudze ryzyko.

Listy da się zbudować trzema drogami i można je mieszać: wgrać zestaw startowy pochodzący z rzeczywistej analizy jednostki samorządowej (kilkadziesiąt pozycji w każdej z czterech list, z opisami), dopisywać własne pozycje ręcznie albo pobrać listę do CSV, poprawić w arkuszu i wgrać z powrotem. Zestaw startowy dopisuje się do tego, co już masz — niczego nie kasuje.

Asystent AI proponuje, decydujesz Ty

Po podłączeniu Asystenta AI można poprosić o projekt odpowiedzi na pytania oceny oraz o propozycje scenariuszy ryzyka. Warto znać trzy ograniczenia, bo one wyznaczają rolę tego narzędzia:

• scenariusze budowane są wyłącznie z haseł istniejących w Twoich słownikach — Asystent nie wymyśla aktywów ani podatności, których u siebie nie masz,
• miejsca wymagające wiedzy o jednostce Asystent oznacza wprost dopiskiem „DO USTALENIA”, zamiast wypełniać je prawdopodobnie brzmiącym tekstem,
• żadna propozycja nie zapisuje się sama — trafia na ekran zatwierdzania i zostaje oznaczona jako pochodząca od Asystenta.

Ocena skutków jest dokumentem administratora danych i to on odpowiada za jej treść oraz za decyzję, czy przetwarzanie rozpocząć. Asystent przyspiesza redagowanie i podpowiada, czego nie wziąłeś pod uwagę — nie zastępuje oceny człowieka i nie ponosi za nią odpowiedzialności.