Ocena skutków dla ochrony danych (DPIA, art. 35 RODO) to udokumentowana analiza przetwarzania, które może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Administrator przeprowadza ją przed rozpoczęciem przetwarzania. Jest obowiązkowa w trzech przypadkach z art. 35 ust. 3 RODO, dla operacji z wykazu Prezesa UODO (M.P. 2019 poz. 666), a co do zasady także wtedy, gdy przetwarzanie spełnia co najmniej dwa z dziewięciu kryteriów wytycznych WP248. Jeśli mimo zaplanowanych środków ryzyko pozostaje wysokie, administrator konsultuje się z Prezesem UODO (art. 36).
Kiedy ocena skutków jest obowiązkowa
Ogólna zasada jest w art. 35 ust. 1: ocenę przeprowadza się, jeśli dany rodzaj przetwarzania - zwłaszcza z użyciem nowych technologii - ze względu na charakter, zakres, kontekst i cele może powodować wysokie ryzyko. Jedna ocena może dotyczyć kilku podobnych operacji o podobnym wysokim ryzyku.
Art. 35 ust. 3 wymienia trzy przypadki, w których ocena jest wymagana zawsze:
- a) systematyczna, kompleksowa ocena czynników osobowych, oparta na zautomatyzowanym przetwarzaniu, w tym profilowaniu, będąca podstawą decyzji o skutkach prawnych lub podobnie istotnych,
- b) przetwarzanie na dużą skalę szczególnych kategorii danych (art. 9 ust. 1) lub danych o wyrokach skazujących i czynach zabronionych (art. 10),
- c) systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie.
Wyjątek z art. 35 ust. 10 dotyczy przetwarzania, którego podstawą jest przepis prawa, jeśli ocenę skutków przeprowadzono już przy jego uchwalaniu - chyba że państwo członkowskie uzna ją za potrzebną.
Wykaz Prezesa UODO
Art. 35 ust. 4 RODO każe organowi nadzorczemu opublikować wykaz operacji wymagających oceny. W Polsce to komunikat Prezesa UODO z 17 czerwca 2019 r. (M.P. 2019 poz. 666), który zastąpił wykaz z 2018 r. (M.P. 2018 poz. 827). Wykaz ma dwanaście rodzajów operacji:
- ewaluacja lub ocena, w tym profilowanie i przewidywanie,
- zautomatyzowane podejmowanie decyzji o skutkach prawnych lub podobnie istotnych,
- systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie z rozpoznawaniem cech lub właściwości obiektów,
- szczególne kategorie danych i dane o wyrokach skazujących,
- dane biometryczne wyłącznie w celu identyfikacji osoby lub kontroli dostępu,
- dane genetyczne,
- dane na dużą skalę - liczba osób, zakres danych, okres przechowywania, zasięg geograficzny,
- porównywanie, ocena lub wnioskowanie na podstawie danych z różnych źródeł,
- dane osób, których ocena i usługi zależą od podmiotów z uprawnieniami nadzorczymi lub ocennymi,
- innowacyjne rozwiązania technologiczne lub organizacyjne,
- przetwarzanie, które samo uniemożliwia skorzystanie z prawa, usługi lub umowy,
- dane lokalizacyjne.
UODO zastrzega, że co do zasady ocena jest wymagana, gdy przetwarzanie spełnia co najmniej dwa z tych kryteriów, a czasem wystarczy jedno. Przykłady w wykazie są tylko ilustracją. Ważna uwaga dla jednostek publicznych: z kategorii 3 wyłączono systemy monitoringu wizyjnego, w których obraz jest nagrywany i wykorzystywany tylko w razie potrzeby analizy incydentów. Więcej o samym monitoringu piszemy w artykule Monitoring wizyjny a RODO.
Kryteria WP248: dwa lub więcej
Wytyczne Grupy Roboczej Art. 29 w sprawie oceny skutków (WP248 rev.01), zatwierdzone przez Europejską Radę Ochrony Danych 25 maja 2018 r., podają dziewięć kryteriów przetwarzania o wysokim ryzyku:
- ewaluacja lub ocena, w tym profilowanie i przewidywanie,
- zautomatyzowane decyzje o skutkach prawnych lub podobnie istotnych,
- systematyczne monitorowanie,
- dane wrażliwe lub o bardzo osobistym charakterze,
- przetwarzanie na dużą skalę,
- dopasowywanie lub łączenie zbiorów danych,
- dane osób wymagających szczególnej opieki - dzieci, pracowników, pacjentów, osób w trudnej sytuacji,
- innowacyjne zastosowanie rozwiązań technologicznych lub organizacyjnych,
- przetwarzanie, które uniemożliwia skorzystanie z prawa, usługi lub umowy.
Według wytycznych w większości przypadków przetwarzanie spełniające dwa kryteria wymaga oceny skutków. Jeśli administrator uzna, że mimo to wysokiego ryzyka nie ma, powinien zapisać uzasadnienie. Decyzja - także ta, że oceny nie trzeba - ma być udokumentowana.
Co musi zawierać ocena skutków
Art. 35 ust. 7 RODO wymienia cztery elementy:
- a) systematyczny opis planowanych operacji przetwarzania i ich celów, w tym prawnie uzasadnionych interesów administratora,
- b) ocenę, czy operacje są niezbędne i proporcjonalne w stosunku do celów,
- c) ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą,
- d) środki planowane do zaradzenia ryzyku, w tym zabezpieczenia i mechanizmy ochrony danych, oraz wykazanie przestrzegania RODO.
Przy ocenie administrator zasięga opinii inspektora ochrony danych, jeśli go wyznaczono (art. 35 ust. 2, art. 39 ust. 1 lit. c), a w stosownych przypadkach także opinii osób, których dane dotyczą, lub ich przedstawicieli (art. 35 ust. 9). O roli inspektora w jednostkach publicznych piszemy w artykule Inspektor ochrony danych w jednostce publicznej. Punktem wyjścia jest opis czynności z rejestru czynności przetwarzania, a ocenę ryzyka warto oprzeć na tej samej metodyce co zwykłą analizę ryzyka (analiza ryzyka RODO a SZBI).
Uprzednie konsultacje z Prezesem UODO
Jeśli ocena wykaże, że przetwarzanie powodowałoby wysokie ryzyko, gdyby administrator nie zastosował środków do jego ograniczenia, przed rozpoczęciem przetwarzania konsultuje się z Prezesem UODO (art. 36 ust. 1). Przekazuje mu m.in. podział obowiązków między administratorem a podmiotami przetwarzającymi, cele i sposoby przetwarzania, zaplanowane środki, dane kontaktowe inspektora i samą ocenę skutków (art. 36 ust. 3). Organ udziela pisemnych zaleceń w ciągu 8 tygodni, a w złożonych sprawach termin może przedłużyć o 6 tygodni (art. 36 ust. 2). W praktyce konsultacja to sygnał, że zaplanowane środki nie wystarczają - zwykle lepiej je wzmocnić albo zmienić sposób przetwarzania.
Niedopełnienie obowiązków z art. 35 i 36 podlega administracyjnej karze pieniężnej (art. 83 ust. 4 lit. a).
Przykłady: szkoła, gmina, ochrona zdrowia
| Jednostka | Przetwarzanie | Ocena |
|---|---|---|
| Szkoła | monitoring wejść i korytarzy, nagrania przeglądane tylko po zdarzeniu | wyłączony z kategorii 3 wykazu; dotyczy dzieci, więc warto zapisać analizę kryteriów |
| Szkoła | wejście do stołówki na odcisk palca | kategoria 5 wykazu i dane dzieci - ocena wymagana, a najpierw pytanie, czy biometria jest niezbędna |
| Szkoła | platforma edukacyjna oceniająca postępy i zachowanie uczniów | ewaluacja, dzieci, często nowa technologia - zwykle ocena |
| Gmina, OPS | dane o zdrowiu, ubóstwie i sytuacji rodzinnej podopiecznych | dane wrażliwe i osoby wymagające opieki - zwykle ocena |
| Gmina | monitoring miejski z rozpoznawaniem tablic rejestracyjnych | kategoria 3 wykazu - ocena |
| Gmina | lokalizacja GPS pojazdów i pracowników; kanał zgłoszeń sygnalistów | kategorie 12 i 9 wykazu - przeanalizować kryteria |
| Szpital, duża przychodnia | dokumentacja medyczna wielu pacjentów | art. 35 ust. 3 lit. b - ocena |
| Gabinet jednego lekarza | dokumentacja medyczna własnych pacjentów | według motywu 91 nie jest to duża skala |
| Placówka medyczna | telekonsultacje z ośrodkami spoza UE | kategoria 10 wykazu - ocena |
Tabela nie zastępuje analizy - te same operacje w innym kontekście mogą wypaść inaczej. Więcej o placówkach medycznych na stronie RODO w przychodni.
Jak często przeglądać ocenę skutków
RODO nie podaje stałego terminu. Art. 35 ust. 11 każe przeglądać ocenę w razie potrzeby, co najmniej wtedy, gdy zmienia się ryzyko. Wytyczne WP248 traktują ocenę jako proces: dobrą praktyką jest jej stałe monitorowanie i regularna ponowna ocena. Praktyczny rytm to przegląd razem z okresową analizą ryzyka, na przykład raz w roku, oraz po każdej istotnej zmianie: nowym systemie, nowym dostawcy, rozszerzeniu zakresu danych albo naruszeniu ochrony danych.
Jak pomaga Cyberenu
W Cyberenu każda analiza ryzyka zawiera spełnione kryteria oceny skutków z katalogu opartego na WP248 i wniosek. Gdy zaznaczone są co najmniej dwa kryteria, system sam oznacza, że ocena jest wymagana. Dokument „Ocena skutków dla ochrony danych” bierze z analizy przedmiot, kryteria i tabelę ryzyk z poziomami i reakcjami, a opis operacji oraz ocenę niezbędności i proporcjonalności zostawia do uzupełnienia, z przypomnieniem o konsultacji z art. 36. W rejestrze czynności przy każdej czynności widać, czy ocena jest wymagana, wraz z uzasadnieniem.
Termin przeglądu analizy jest zapisany, a przypomnienie przychodzi 30 dni wcześniej. Całość jest częścią dokumentacji RODO. O szczegóły zapytaj przez formularz kontaktowy.
