Ocena skutków dla ochrony danych (DPIA) to najczęściej pomijany obowiązek RODO - nie dlatego, że firmy się buntują, tylko dlatego, że nie wiedzą, kiedy jest wymagana. A brak DPIA tam, gdzie była obowiązkowa, to samodzielna podstawa kary, niezależnie od tego, czy komukolwiek stała się krzywda.
- DPIA trzeba zrobić przed uruchomieniem przetwarzania - po wdrożeniu to już nie ocena skutków, tylko protokół z wypadku.
- Brak DPIA tam, gdzie była obowiązkowa, to samodzielna podstawa kary - niezależnie od tego, czy doszło do szkody.
- Reguła kciuka: spełnienie dwóch lub więcej z 9 kryteriów WP29/EROD oznacza domyślny obowiązek DPIA.
- Jeśli operacja pasuje do wykazu UODO wydanego na podstawie art. 35 ust. 4, dyskusja o „wysokim ryzyku” jest zamknięta - DPIA jest obowiązkowa.
- Gdy ryzyko rezydualne po środkach zaradczych nadal jest wysokie, trzeba skonsultować się z Prezesem UODO przed rozpoczęciem przetwarzania (art. 36) - organ ma co do zasady 8 tygodni na odpowiedź.
Czym jest DPIA i po co ją robić
DPIA (Data Protection Impact Assessment, po polsku: ocena skutków dla ochrony danych) to ustrukturyzowana analiza planowanego przetwarzania danych osobowych - zanim je uruchomisz. Podstawa: art. 35 RODO. Cel: zidentyfikować ryzyka dla praw i wolności osób, których dane dotyczą, i zaplanować środki, które te ryzyka ograniczą.
Kluczowe słowo: zanim. DPIA robiona po wdrożeniu systemu to protokół z wypadku, nie ocena skutków. W praktyce dobrze przeprowadzona DPIA często poprawia sam projekt - wymusza pytania o minimalizację danych, retencję i dostęp, które inaczej nikt by nie zadał.
Kiedy DPIA jest obowiązkowa?
Reguła ogólna (art. 35 ust. 1)
DPIA jest wymagana, gdy dany rodzaj przetwarzania - w szczególności z użyciem nowych technologii - ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko dla praw i wolności osób fizycznych.
Trzy przypadki wskazane wprost (art. 35 ust. 3)
- Systematyczna, kompleksowa ocena czynników osobowych oparta na zautomatyzowanym przetwarzaniu (w tym profilowaniu), będąca podstawą decyzji wywołujących skutki prawne lub podobnie istotnie wpływających na osobę - np. scoring kredytowy, automatyczna preselekcja kandydatów do pracy.
- Przetwarzanie na dużą skalę danych szczególnych kategorii (art. 9) lub danych o wyrokach skazujących (art. 10).
- Systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie - klasyczny przykład: rozbudowany monitoring wizyjny.
9 kryteriów WP29/EROD
Wytyczne Grupy Roboczej Art. 29 (WP248, przyjęte przez EROD) podają dziewięć kryteriów wskazujących na wysokie ryzyko:
- ocena lub scoring (w tym profilowanie i przewidywanie),
- automatyczne podejmowanie decyzji ze skutkiem prawnym lub podobnie istotnym,
- systematyczne monitorowanie,
- dane wrażliwe lub dane o wysoce osobistym charakterze,
- przetwarzanie na dużą skalę,
- łączenie lub porównywanie zbiorów danych,
- dane osób wymagających szczególnej ochrony (dzieci, pracownicy, pacjenci),
- innowacyjne wykorzystanie lub nowe rozwiązania technologiczne (np. AI, biometria, IoT),
- przetwarzanie, które uniemożliwia osobom wykonanie prawa lub skorzystanie z usługi czy umowy.
Praktyczna reguła kciuka: spełnienie dwóch lub więcej kryteriów = domyślnie robisz DPIA. Przy jednym kryterium też warto rozważyć - a jeśli decydujesz, że DPIA nie jest potrzebna, udokumentuj dlaczego. Ten dokument („ocena progowa") bywa równie ważny jak sama DPIA.
Wykaz UODO
Prezes UODO opublikował na podstawie art. 35 ust. 4 RODO wykaz rodzajów operacji przetwarzania wymagających DPIA (komunikat w Monitorze Polskim). Znajdziesz tam m.in. profilowanie i ocenę osób (w tym scoring), systematyczny monitoring pracowników, przetwarzanie danych biometrycznych i genetycznych, śledzenie lokalizacji, dane dzieci, innowacyjne technologie. Jeśli Twoja operacja pasuje do pozycji z wykazu w opisanym tam kontekście - dyskusja o „wysokim ryzyku" jest zamknięta, DPIA jest obowiązkowa. Zawsze sprawdzaj aktualną wersję wykazu na stronie UODO.
Jak przeprowadzić DPIA w 7 krokach?
Art. 35 ust. 7 określa minimalną zawartość oceny. W praktyce sprawdza się taka sekwencja:
- Opisz przetwarzanie systematycznie. Cele, kategorie danych i osób, przepływy danych (skąd, dokąd, przez kogo), odbiorcy, okresy retencji, wykorzystywane systemy i dostawcy. Diagram przepływu danych robi tu więcej roboty niż dziesięć stron prozy.
- Oceń niezbędność i proporcjonalność. Czy cel da się osiągnąć mniejszą ilością danych? Czy podstawa prawna jest właściwa? Czy retencja nie jest „na zapas"? To moment, w którym DPIA realnie poprawia projekt.
- Zasięgnij opinii IOD - jeśli go wyznaczyłeś, doradzanie przy DPIA to jego ustawowe zadanie (art. 39 ust. 1 lit. c), a zasięgnięcie jego opinii - Twój obowiązek (art. 35 ust. 2). W stosownych przypadkach rozważ też zebranie opinii osób, których dane dotyczą, lub ich przedstawicieli (art. 35 ust. 9) - np. konsultację z pracownikami przy monitoringu.
- Zidentyfikuj ryzyka dla osób, których dane dotyczą. Uwaga: chodzi o ryzyko dla ludzi (dyskryminacja, kradzież tożsamości, strata finansowa, naruszenie prywatności, uszczerbek reputacji), nie o ryzyko biznesowe firmy. To najczęstszy błąd metodyczny.
- Oszacuj ryzyka. Dla każdego scenariusza: prawdopodobieństwo × powaga skutków. Skala może być prosta (niskie/średnie/wysokie) - ważna jest spójność i uzasadnienie ocen, nie wyrafinowanie matematyki.
- Zaplanuj środki zaradcze. Pseudonimizacja, szyfrowanie, kontrola dostępu, minimalizacja, skrócenie retencji, przejrzysta informacja, mechanizmy sprzeciwu, nadzór człowieka nad automatyką. Dla każdego wysokiego ryzyka: środek + ryzyko rezydualne po jego zastosowaniu.
- Udokumentuj, wdroż i wracaj. DPIA to dokument żywy - art. 35 ust. 11 wymaga przeglądu, gdy zmienia się ryzyko. Nowa funkcja produktu, nowy dostawca, nowy kraj transferu = aktualizacja oceny.
Konsultacje uprzednie z UODO (art. 36)
Jeśli po zastosowaniu zaplanowanych środków ryzyko rezydualne nadal jest wysokie, nie wolno po prostu ruszyć z przetwarzaniem - trzeba skonsultować się z Prezesem UODO przed jego rozpoczęciem. Organ ma co do zasady 8 tygodni na zalecenia (z możliwością przedłużenia o 6 tygodni).
W praktyce konsultacje uprzednie są rzadkie - i tak powinno być. Jeśli DPIA kończy się wnioskiem „wysokie ryzyko, nic nie da się zrobić", zwykle oznacza to, że projekt wymaga przeprojektowania, a nie błogosławieństwa urzędu. Konsultacja to wentyl bezpieczeństwa, nie ścieżka legalizacji ryzykownych pomysłów.
Najczęstsze błędy
- DPIA po wdrożeniu - ocena skutków czegoś, co już działa, nie spełnia swojej funkcji prewencyjnej.
- Kopiuj-wklej z szablonu - DPIA opisująca „ryzyko nieuprawnionego dostępu" bez odniesienia do konkretnego systemu jest bezwartościowa dowodowo.
- Analiza ryzyka firmy zamiast ryzyka osób - kara UODO to nie jest ryzyko, które ocenia się w DPIA.
- Brak oceny progowej - decyzja „nie robimy DPIA" bez udokumentowanego uzasadnienia wygląda przy kontroli jak zaniechanie, nie jak decyzja.
- Jednorazowość - system się zmienia, DPIA sprzed trzech lat opisuje system, którego już nie ma.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej.