2026-03-04 RODO

PUODO blacklist a WP248. Dwa testy, nie alternatywa

Katalog M.P. 2019 poz. 666 i 10 kryteriów EDPB to dwa niezależne testy. Nie alternatywa. Tłumaczę dlaczego klienci to mylą.

No i znowu. Klient pyta: “DPIA jest wymagane bo PUODO blacklist, więc nie musimy robić WP248, prawda?” Nieprawda.

TL;DR

PUODO blacklist (M.P. 2019 poz. 666) ; lista 12 kategorii gdzie DPIA jest pewne
WP248 (kryteria EDPB) ; 10 kryteriów, próg ≥2 = DPIA pewne
Te testy są niezależne. Trafienie na PUODO list NIE zwalnia z analizy WP248
Bo WP248 dostarcza kontekst do treści DPIA, nie tylko binarnej decyzji

Problem ; klienci traktują to jak OR

“Jak na blackliście to DPIA, jak nie ; sprawdzam WP248”. To jest skrót myślowy który gubi pół DPIA. Bo PUODO blacklist mówi tylko że DPIA musi być, nie mówi co w niej napisać. WP248 mówi które aspekty trzeba uwzględnić.

Decyzja ; uruchamiamy oba testy zawsze

W kodzie mamy: requiresDpia = puodoBlacklist.match() || wp248.score() >= 2. Ale wynik DPIA assessment zawsze pokazuje oba. Klient widzi: “PUODO: tak, M.P. 2019 poz. 666 §1 ust. 4 ; profilowanie. WP248: 3 z 10 kryteriów ; profiling, scoring kandydatów, wrażliwa kategoria danych”.

Decyzja: oba testy są zawsze uruchamiane i wynik jest zawsze pokazywany. Nawet gdy jeden zwraca "tak", drugi też się liczy ; ale dla informacji, nie blokowania.

Dlaczego WP248 nie jest tylko binarne

10 kryteriów EDPB to też lista zawartości DPIA. Jeśli kryterium “evaluation or scoring” trafia ; w DPIA musi być sekcja o tym jak ten scoring działa, jakie dane wchodzą, jak ważone, jak audytowane. Bez tej sekcji DPIA jest niekompletna ; nawet jeśli “ogólnie się zgadza”.

Klient który robi tylko PUODO test wstawia “tak, DPIA wymagana” i pisze trzy linijki o procesie rekrutacji. Audytor PUODO zaznacza w protokole “DPIA niespełniająca art. 35 ust. 7 RODO ; brak oceny ryzyka dla profilowania”. Kara.

Pułapka: "Mam DPIA z 2018 roku, więc nic nie muszę". Owszem ; ale tylko dopóki proces się nie zmienia. Każda zmiana kategorii danych, dostawcy, podstawy prawnej = re-assessment. WP248 robi to za ciebie automatycznie gdy edytujesz powiązane RcpEntry.

W RealSec to wygląda tak

Gdy klikasz “Generuj DPIA” w RcpEntry, silnik chodzi po obu listach. Wynik to tabelka:

PUODO: hit ; M.P. §1 ust. 4 ; profilowanie kandydatów

WP248: 3/10 ; (1) evaluation, (2) automated decision, (5) sensitive data

WYNIK: REQUIRED. Sekcje obowiązkowe: profilowanie, automated-decision logic, sensitive data handling.

Klient wypełnia tylko sekcje obowiązkowe. System nie pyta o aspekty które do tego procesu nie pasują. Zero szumu, pełen zgodność.

Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.

← Wszystkie notatki