Ocena skutków dla ochrony danych: obowiązkowa, gdy przetwarzanie powoduje wysokie ryzyko

Ocena skutków dla ochrony danych (DPIA) to uporządkowany proces służący identyfikacji i minimalizacji zagrożeń dla ochrony danych przed rozpoczęciem ich przetwarzania. Nie jest to dobrowolna dobra praktyka — art. 35 RODO nakłada obowiązek jej przeprowadzenia zawsze, gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych. Typowe przesłanki obejmują systematyczne monitorowanie osób (np. za pomocą monitoringu wizyjnego w centrum handlowym), przetwarzanie na dużą skalę szczególnych kategorii danych (dotyczących zdrowia, danych biometrycznych, poglądów politycznych) lub wykorzystywanie nowych technologii w nowatorski sposób (np. profilowanie z użyciem AI do oceny zdolności kredytowej). Kluczowe rozróżnienie: przetwarzanie o niskim ryzyku, takie jak rozsyłanie biuletynu pracowniczego, nie wymaga DPIA, natomiast przetwarzanie o wysokim ryzyku zawsze jej wymaga.

Aby szybko rozpoznać pytanie dotyczące DPIA, należy szukać w opisie sytuacji takich słów kluczowych jak „systematyczne”, „na dużą skalę”, „dane wrażliwe” lub „nowa technologia”. Jeżeli przetwarzanie obejmuje profilowanie, śledzenie lokalizacji lub ocenianie osób (np. ich wyników w pracy), jest to sygnał ostrzegawczy wskazujący na wysokie ryzyko. Pomocna metoda eliminacji: jeśli w pytaniu DPIA jest przedstawiona jako fakultatywna, odpowiedź ta jest niemal na pewno błędna, gdy okoliczności wskazują na wysokie ryzyko. Kolejna wskazówka: DPIA musi zostać przeprowadzona przed rozpoczęciem przetwarzania, a nie po wystąpieniu naruszenia — pułapka dotycząca kolejności zdarzeń może przedstawiać ją jako środek reaktywny.

Zapamiętaj przesłanki za pomocą słowa „HIGH” — H jak health/biometric data (dane dotyczące zdrowia lub dane biometryczne), I jak innovative technology (innowacyjna technologia), G jak large-scale gathering (gromadzenie danych na dużą skalę), H jak high-risk profiling (profilowanie wysokiego ryzyka). Jeśli występuje którakolwiek z tych przesłanek, DPIA jest obowiązkowa, a nie jedynie pożądana. Aby sprawdzić swoją wiedzę, zapytaj: „Czy takie przetwarzanie wzbudziłoby u rozsądnej osoby obawy o jej prywatność?”. Jeśli tak, przeprowadzenie DPIA jest wymagane.