DPIA krok po kroku. Kiedy jest wymagana i jak ją zrobić.
Połowa firm robi DPIA na wyrost, druga połowa wcale. No i obie grupy mają problem, tylko inny.
No to ogarnijmy DPIA raz a dobrze. Ocena skutków dla ochrony danych, czyli DPIA z Art. 35 RODO, to nie jest dokument “na wszelki wypadek”. Robisz ją wtedy, gdy przetwarzanie może powodować wysokie ryzyko dla praw i wolności osób. Problem w tym, że “wysokie ryzyko” brzmi miękko, a kryteria są twarde.
TL;DR
- DPIA wymagana, gdy przetwarzanie może powodować wysokie ryzyko (Art. 35)
- Praktyczny test: 10 kryteriów EDPB (WP248), próg 2 lub więcej = robisz
- W Polsce dochodzi katalog PUODO (M.P. 2019 poz. 666) jako lista wprost
- DPIA to proces z decyzją i ryzykiem rezydualnym, nie formularz do szuflady
Kiedy DPIA jest wymagana
Najpierw zła wiadomość: nie ma jednego prostego “tak/nie”. Jest za to praktyczny test z wytycznych EDPB (WP248), który wymienia 10 kryteriów. Profilowanie i scoring, przetwarzanie na dużą skalę, dane wrażliwe, monitoring miejsc publicznych, dane osób wymagających szczególnej ochrony i kilka kolejnych.
Reguła kciuka EDPB: jeśli spełniasz dwa lub więcej kryteriów, DPIA robisz. Jeśli jedno, oceniasz indywidualnie i dokumentujesz decyzję.
Katalog PUODO, czyli polski skrót
W Polsce jest jeszcze prościej w jedną stronę. PUODO opublikował listę rodzajów przetwarzania, które DPIA wymagają wprost (M.P. 2019 poz. 666). Jak Twój proces jest na tej liście, nie ma dyskusji o kryteriach… robisz DPIA i tyle.
Jak zrobić DPIA krok po kroku
Po kolei. Opisz operację przetwarzania: cel, zakres, kategorie danych, podstawa prawna, odbiorcy, retencja. Oceń niezbędność i proporcjonalność. Zidentyfikuj ryzyka dla osób i oszacuj je. Zaplanuj środki zaradcze. Policz ryzyko rezydualne po wdrożeniu kontroli. Jak po wszystkim ryzyko dalej jest wysokie… konsultujesz się z PUODO przed startem.
I tu jest sedno, które gubi najwięcej firm: DPIA to nie jest plik Word podpisany i odłożony. To decyzja z uzasadnieniem i ze stanem na konkretny dzień. Zmienił się proces? DPIA się dezaktualizuje.
Dlaczego DPIA z głowy się nie spina
Bo DPIA dziedziczy z rejestru czynności. Kategorie danych, podstawa, systemy, retencja… to wszystko już opisałeś w RCP. Przepisywanie tego ręcznie do osobnego formularza to proszenie się o niespójność.
W module Iodynka DPIA pyta o WP248 i katalog PUODO automatycznie, a 15 pól prefilluje się z procesu. Decyzja jest zapisana, ryzyko rezydualne policzone, a kontrola PUODO dostaje spójny dokument zamiast zlepka.
A jak chcesz konkretny powód, żeby tego nie odkładać: brak DPIA dla ryzykownego procesu to jeden z klasycznych powodów kar RODO. Lepiej mieć to pozamiatane wcześniej.
Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.