Posouzení vlivu na ochranu osobních údajů (DPIA) patří k povinnostem, kolem kterých panuje nejvíc nejistoty. Správci často nevědí, jestli se jich vůbec týká, a tak ji buď dělají zbytečně, nebo naopak neudělají tam, kde je povinná. Setkáváme se s tím u malých firem stejně jako u velkých nemocnic nebo úřadů.
Dobrá zpráva je, že ÚOOÚ k tomu zveřejnil praktický nástroj: Seznam druhů operací zpracování (ne)podléhajících požadavku na DPIA, dostupný na uoou.gov.cz. Postup je jednoduchý. Nejdřív se podíváte do takzvaného negativního seznamu, tedy přehledu zpracování, která DPIA nevyžadují. Pokud tam své zpracování nenajdete, vyhodnotíte ho podle pozitivního seznamu deseti kritérií rizikovosti.
V TOMTO ČLÁNKU
01
Kdy DPIA nepotřebujete
Negativní seznam výslovně vyjímá například mzdovou agendu a účetnictví zaměstnanců vedené v ČR, personální agendu bez biometrie a systematického monitorování, zpracování zákaznických dat v rámci běžné obchodní činnosti bez zvláštních kategorií údajů nebo zpracování dat pacientů jednotlivým lékařem či klientů jednotlivým advokátem bez předávání do třetích zemí.
Pro obce, školy a příspěvkové organizace
Pokud je konkrétní zpracování přímo uloženo zákonem, DPIA dělat nemusíte. Nahrazuje ji takzvaná legislativní DPIA podle § 10 zákona č. 110/2019 Sb.
02
Kdy je DPIA povinná
Pozitivní seznam pracuje s deseti kritérii rizikovosti.
Kdy se DPIA stává povinnou
Když zpracování dosáhne kritické úrovně ve dvou a více kritériích, nebo kritické úrovně v jednom a zároveň významné úrovně v nejméně pěti dalších.
V praxi nejčastěji rozhoduje monitorování lidí (kamery, docházkové systémy, sledování životních funkcí pacientů), zpracování citlivých údajů (zdravotní stav, biometrie, rodná čísla, finanční data), data zranitelných skupin (pacienti, děti, žadatelé vůči úřadu, ale i zaměstnanci ve vztahu k zaměstnavateli), velký rozsah zpracování (orientačně od 10 001 osob nebo více než 20 zaměstnanců s přístupem k datům) a nasazení nových technologií včetně umělé inteligence.
03
Jak to vypadá v praxi
Základní škola zavádí elektronickou docházku žáků. Zpracovává data dětí a zároveň je monitoruje. DPIA bude pravděpodobně povinná.
Obec pořizuje kamerový systém na náměstí. Snímá veřejný prostor ve velkém rozsahu. Analýza podle pozitivního seznamu je nutná.
Městský úřad spouští chatbota na webu. Jde o novou technologii, která pracuje s daty žadatelů. DPIA je třeba vážně zvážit.
Firma zavádí docházku na otisk prstu. Biometrie je zvláštní kategorie osobních údajů. DPIA je téměř vždy povinná — ať jde o úřad, nemocnici nebo výrobní podnik.
04
Jak postupovat
Začněte přehledem všech svých zpracování osobních údajů. Ideálním výchozím bodem jsou záznamy o činnostech zpracování podle čl. 30 GDPR. U každého zpracování nejdřív zkontrolujte negativní seznam. Pokud v něm není, vyhodnoťte ho podle deseti kritérií pozitivního seznamu. Když vyjde kritická nebo kombinovaná úroveň, DPIA zpracujte a výsledek zdokumentujte.
DPIA není papír do šuplíku
Je to živý dokument. Je potřeba revidovat ho při každé podstatné změně zpracování, zavedení nového systému nebo rozšíření rozsahu dat.
Celý postup je dobré konzultovat s pověřencem pro ochranu osobních údajů (DPO). Posouzení, zda je DPIA nutná, patří k jeho klíčovým úkolům. Kompletní seznam s popisem všech kritérií a jejich úrovní si můžete stáhnout na uoou.gov.cz.
05
Přehled pro rychlou orientaci
Kdy DPIA nepotřebujete — negativní seznam
Kdy je DPIA povinná — pozitivní seznam
Zpracování je vysoce rizikové a DPIA je povinná, pokud dvě a více kritérií dosáhnou kritické úrovně, nebo jedno je kritické a zároveň nejméně pět dalších je významných.
1. Monitorování osob — sledování pohybu, kamerové a docházkové systémy, monitoring životních funkcí pacientů
2. Citlivé nebo vysoce osobní údaje — zdravotní stav, biometrie, genetika, finanční data, přístupové údaje, rodná čísla
3. Zranitelné osoby — pacienti, děti, migranti, zaměstnanci ve vztahu k zaměstnavateli, žadatelé vůči veřejné správě
4. Velký rozsah zpracování — orientačně od 10 001 osob, více než 20 zaměstnanců s přístupem k datům nebo více než 20 poboček
5. Snímání veřejně přístupných prostor — kamerové systémy na veřejných prostranstvích
6. Omezená možnost ovlivnit zpracování — typicky zpracování uložené zákonem nebo automatizované rozhodování
7. Veřejná dostupnost osobních údajů — údaje zpřístupněné neomezenému okruhu osob
8. Technologicky složité systémy — AI, systémy propojující data z různých zdrojů, expertní analytické nástroje
9. Vazba na více správců nebo zpracovatelů — sdílení dat s neurčitým okruhem správců (nemocnice, školy, úřady)
10. Nové technologické nebo organizační řešení — zpracování, se kterým správce dosud nemá zkušenost
Co si z článku odnést
Nevíte, jestli se DPIA týká i vás?
Projdeme s vámi vaše zpracování, vyhodnotíme je podle obou seznamů a tam, kde je DPIA povinná, ji zpracujeme.