Zgodnie z art. 35 RODO, po stronie administratora może powstać obowiązek przeprowadzenia oceny skutków dla ochrony danych (ang. Data protection impact assessment – DPIA). Na czym polega DPIA i kiedy jej prowadzenie jest obligatoryjne?
Czym jest ocena skutków dla ochrony danych?
Odpowiedź na to pytanie sformułowała Grupa Robocza Art. 29 w swoich wytycznych dotyczących właśnie DPIA (dokument WP 248, dostępny tutaj: https://uodo.gov.pl/pl/10/9). Grupa Robocza definiuje ocenę skutków dla ochrony danych jako proces, który pozwala opisać przetwarzanie, ocenić jego konieczność i proporcjonalność oraz wesprzeć zarządzanie ryzykiem naruszenia praw lub wolności osób fizycznych, wynikającym z ocenianego przetwarzania poprzez ocenę ryzyka i ustalenie środków pozwalających temu ryzyku zaradzić. Grupa Robocza wyjaśnia także, że na DPIA należy patrzeć jak na proces mający istotne znaczenie dla budowania rozliczalności.
Kiedy należy przeprowadzić ocenę skutków dla ochrony danych?
Jeżeli planowany rodzaj przetwarzania, ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator ma obowiązek przeprowadzenia oceny skutków dla ochrony danych, zanim podejmie to przetwarzanie.
Ocena skutków dla ochrony danych, jest wymagana w szczególności w przypadku:
- systematycznej, kompleksowej oceny czynników osobowych odnoszących się do osób fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i jest podstawą decyzji wywołujących skutki prawne wobec osoby fizycznej lub w podobny sposób znacząco wpływających na osobę fizyczną;
- przetwarzania na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1, lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych, o czym mowa w art. 10 RODO; lub
- systematycznego monitorowania na dużą skalę miejsc dostępnych publicznie.
Ocena skutków dla ochrony danych musi być akutalizowana przynajmniej wtedy, kiedy zmienia się ryzyko wynikające z operacji przetwarzania.
Jeżeli administrator wyznaczył inspektora ochrony danych, powinien z nim konsultować prowadzenie oceny skutków dla ochrony danych.
Elementy DPIA
RODO przewiduje minimalny zakres elementów, które należy uwzględnić prowadząc DPIA. Zakres ten obejmuje:
- systematyczny opis planowanych operacji przetwarzania oraz celów przetwarzania, ze szczególnym uwzględnieniem prawnie uzasadnionych interesów realizowanych przez administratora, jeżeli działa on na podstawie tej przesłanki;
- Ocenę niezbędności oraz proporcjonalności operacji przetwarzania w stosunku do ustalonych celów przetwarzania;
- Ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą związanego z danymi operacjami przetwarzania;
- Wykaz środków planowanych w celu zaradzeniu ryzyku, uwzględniający zabezpieczenia oraz środki i mechanizmy bezpieczeństwa, które mają zapewniać ochronę danych osobowych i wykazać przestrzeganie RODO.
Zważywszy na wiążącą go zasadę rozliczalności, administrator powinien odpowiednio udokumentować każdy element oceny skutków dla ochrony danych.
Wykaz operacji wymagających DPIA
Organ nadzorczy (w Polsce – Prezes Urzędu Ochrony Danych Osobowych), ustanawia wykaz rodzajów operacji przetwarzania, które podlegają obligatoryjnie ocenie skutków dla ochrony danych. Wykaz operacji, których prowadzenie powoduje obowiązek dokonania DPIA można znaleźć tutaj (link: http://monitorpolski.gov.pl/MP/2019/666). Zgodnie z wyjaśnieniami PUODO, jeżeli przetwarzanie spełnia przynajmniej dwa z ustalonych w wykazie kryteriów, wymaga prowadzenia DPIA. PUODO podkreśla jednak, że ostateczna ocena każdego przypadku zależy od administratora. Może on bowiem uznać, że przetwarzanie spełniające tylko jedno z kryteriów ustalonych w wykazie także wymaga prowadzenia DPIA.
W ww. wykazie operacji znaleźć można m.in. przykłady:
- operacji dokonywanych przez firmy marketingowe media społecznościowe obejmujących profilowanie użytkowników portali społecznościowych i innych aplikacji w celu wysyłania informacji handlowej,
- działań w ramach programów marketingowych obejmujących profilowanie np. poprzez monitorowanie zakupów i preferencji zakupowych,
- Przetwarzania danych przez szpitale i organizacje prowadzące badania kliniczne,
- Operacji przetwarzania w ramach systemów rozpoznawania twarzy, weryfikacji tożsamości w miejscu pracy w celu kontroli dostępu,
- Działań marketingowych obejmujących pobieranie danych z różnych źródeł, zawierających dane nt. klientów, w celu prowadzenia ukierunkowanych na określone grupy docelowe akcji marketingowych np. poprzez łączenie danych z różnych rejestrów państwowych lub publicznych.
Organ nadzorczy może także ustanowić wykaz operacji, które nie podlegają wymogowi dokonania DPIA. Na dzień 2 marca 2020 r. PUODO nie opracował takiego wykazu. Listę operacji, które prowadzić można bez uprzedniego dokonywania oceny skutków dla ochrony danych, ustalił i opublikował natomiast francuski organ nadzorczy, czyli Commission Nationale de l’Informatique et des Libertés (CNIL). Wykaz dostępny jest tutaj: https://www.cnil.fr/sites/default/files/atoms/files/liste-traitements-aipd-non-requise.pdf). W wykazie tym znaleźć można m.in. przykłady:
- Przetwarzania danych dot. zdrowia w zakresie niezbędnym do zapewnienia opieki medycznej w ramach jednoosobowej działalności leczniczej w gabinecie lekarskim, aptece lub laboratorium, polegające m.in. na umawianiu wizyt pacjentów, prowadzeniu rozliczeń, zapewnianiu komunikacji między personelem placówki niezbędnej w procesie leczenia,
- Przetwarzania prowadzonego wyłącznie w celu zarządzania kontrolą dostępu i ewidencjonowania czasu pracy, nieobejmującego wykorzystania urządzeń biometrycznych czy danych sensytywnych,
- Przetwarzania prowadzonego przez adwokatów świadczących usługi w ramach jednoosobowej działalności gospodarczej,
- Przetwarzania danych przez pracodawców zatrudniających mniej niż 250 osób prowadzonego stricte w celach zarządzania zasobami ludzkimi zgodnie z przepisami prawa, pod warunkiem, że przetwarzanie to nie obejmuje profilowania (np. zarządzanie kwestiami płacowymi, stołówką dla pracowników, kontrola czasu pracy, rozliczenia wydatków służbowych, prowadzenie obowiązkowych rejestrów).
Masz pytania dotyczące tematu artykułu? Skontaktuj się z autorem.
Katarzyna Witkowska-Nowakowska
Prawnik
