35 RODO: definicja i znaczenie w praktyce prawnej

Rozwój technologii oraz cyfryzacja procesów biznesowych sprawiają, że organizacje przetwarzają coraz większe ilości danych osobowych, często w sposób zautomatyzowany i skomplikowany. W tym kontekście kluczowym instrumentem zapewniającym bezpieczeństwo informacji staje się ocena skutków dla ochrony danych (DPIA – Data Protection Impact Assessment), uregulowana w art. 35 Ogólnego Rozporządzenia o Ochronie Danych (RODO). Przepis ten nakłada na administratorów danych obowiązek systematycznego i prewencyjnego analizowania ryzyka związanego z planowanymi operacjami przetwarzania. Zrozumienie definicji, zakresu oraz praktycznego znaczenia art. 35 RODO jest niezbędne dla zapewnienia zgodności z prawem oraz uniknięcia dotkliwych sankcji finansowych.

Czym jest ocena skutków dla ochrony danych (DPIA)?

Ocena skutków dla ochrony danych to sformalizowany proces mający na celu zidentyfikowanie, ocenę oraz zminimalizowanie ryzyk związanych z przetwarzaniem danych osobowych. Nie jest to jednorazowy dokument, lecz ciągłe narzędzie zarządcze, które wpisuje się w unijną zasadę rozliczalności (accountability) oraz zasadę ochrony danych w fazie projektowania (privacy by design). Zgodnie z art. 35 ust. 1 RODO, przeprowadzenie DPIA jest wymagane, jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. W praktyce oznacza to, że administrator musi dokonać oceny ryzyka zanim jeszcze rozpocznie faktyczne operacje na danych osobowych. Proces ten pozwala na wczesne wykrycie podatności i wdrożenie odpowiednich zabezpieczeń.

Kiedy powstaje obowiązek przeprowadzenia oceny skutków?

Obowiązek ten nie dotyczy każdego procesu przetwarzania danych. Kluczowym kryterium jest wystąpienie prawdopodobieństwa wysokiego ryzyka dla praw i wolności osób, których dane dotyczą. RODO w art. 35 ust. 3 wskazuje trzy szczególne sytuacje, w których przeprowadzenie oceny skutków jest bezwzględnie wymagane. Pierwszą z nich jest systematyczna i wszechstronna ocena czynników osobowych odnoszących się do osób fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i na której opierają się decyzje wywołujące skutki prawne wobec osoby fizycznej lub w podobny sposób istotnie na nią wpływające. Drugą sytuacją jest przetwarzanie na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1, lub danych dotyczących wyroków skazujących i naruszeń prawa. Trzecią przesłanką jest systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie.

Rola organu nadzorczego i wykaz operacji

Warto pamiętać, że krajowe organy nadzorcze mają obowiązek sporządzenia i podania do publicznej wiadomości wykazu rodzajów operacji przetwarzania podlegających wymogowi oceny skutków. W Polsce Prezes Urzędu Ochrony Danych Osobowych (PUODO) wydał stosowny wykaz, który zawiera szczegółowe scenariusze, takie jak m.in. przetwarzanie danych lokalizacyjnych, analiza ruchu sieciowego, systemy IoT (Internet Rzeczy) zbierające dane o zachowaniach użytkowników, czy też przetwarzanie danych dzieci. Brak uwzględnienia tych wytycznych przez administratora może zostać uznany przez organ za bezpośrednie naruszenie obowiązków ustawowych.

Jakie elementy musi zawierać prawidłowo sporządzona ocena skutków?

Art. 35 ust. 7 RODO precyzyjnie określa minimalne wymogi formalne, jakie musi spełniać dokument DPIA. Prawidłowo przeprowadzona ocena powinna zawierać systematyczny opis planowanych operacji przetwarzania i celów przetwarzania, w tym – gdy ma to zastosowanie – prawnie uzasadnionych interesów realizowanych przez administratora. Ponadto niezbędna jest ocena, czy operacje przetwarzania są niezbędne i proporcjonalne w stosunku do celów. Kolejnym elementem jest ocena ryzyka naruszenia praw lub wolności osób, których dane dotyczą, oraz wskazanie planowanych środków zaradczych, w tym zabezpieczeń, środków bezpieczeństwa i mechanizmów wykazujących zgodność z rozporządzeniem.

Rola Inspektora Ochrony Danych (IOD) w procesie DPIA

Jeżeli administrator wyznaczył Inspektora Ochrony Danych, art. 35 ust. 2 RODO nakłada na niego obowiązek skonsultowania się z IOD przy przeprowadzaniu oceny skutków. IOD pełni w tym procesie kluczową rolę doradczą. Do jego zadań należy ocena, czy przeprowadzenie DPIA jest w ogóle konieczne, jaką metodologię należy zastosować, czy zabezpieczenia są wystarczające oraz czy końcowe wnioski z oceny są prawidłowe. Administrator nie musi bezwzględnie zgadzać się z opinią IOD, jednak w przypadku podjęcia innej decyzji powinien rzetelnie udokumentować powody odstąpienia od zaleceń inspektora, co wynika bezpośrednio z zasady rozliczalności.

Uprzednie konsultacje z organem nadzorczym (art. 36 RODO)

Jeżeli przeprowadzona ocena skutków dla ochrony danych wykaże, że planowane przetwarzanie powodowałoby wysokie ryzyko, którego administrator nie jest w stanie zminimalizować za pomocą dostępnych środków technicznych i organizacyjnych (ryzyko rezydualne pozostaje na wysokim poziomie), powstaje kolejny obowiązek. Zgodnie z art. 36 RODO, administrator musi przed rozpoczęciem przetwarzania złożyć wniosek o uprzednie konsultacje do organu nadzorczego (w Polsce do PUODO). Organ nadzorczy ma określony termin na przedstawienie pisemnego zalecenia dla administratora – standardowo wynosi on do 8 tygodni od otrzymania wniosku, z możliwością przedłużenia o kolejne 6 tygodni w sprawach szczególnie skomplikowanych. Rozpoczęcie przetwarzania danych przed zakończeniem tych konsultacji lub wbrew zaleceniom organu stanowi rażące naruszenie przepisów.

Praktyczny przykład zastosowania art. 35 RODO

Wyobraźmy sobie prywatną placówkę medyczną, która planuje wdrożyć nowoczesną aplikację mobilną dla pacjentów. Aplikacja ma nie tylko umożliwiać rejestrację na wizyty, ale również automatycznie analizować dane o tętnie, ciśnieniu krwi oraz wynikach badań laboratoryjnych przesyłanych z opasek telemetrycznych pacjentów w celu wczesnego wykrywania anomalii kardiologicznych przy użyciu algorytmów sztucznej inteligencji. Ponieważ proces ten dotyczy danych o stanie zdrowia (szczególna kategoria danych), jest realizowany na dużą skalę i opiera się na profilowaniu oraz zautomatyzowanym podejmowaniu decyzji medycznych, administrator (placówka medyczna) ma bezwzględny obowiązek przeprowadzenia DPIA przed udostępnieniem aplikacji użytkownikom. W ramach oceny placówka musi przeanalizować m.in. ryzyko wycieku danych medycznych, zabezpieczenia transmisji danych, procedury autoryzacji pacjentów oraz wdrożyć odpowiednie szyfrowanie i mechanizmy kontroli dostępu.

Najczęstsze błędy administratorów w praktyce

W praktyce prawnej można zaobserwować szereg powtarzających się błędów związanych z realizacją art. 35 RODO. Najpoważniejszym z nich jest traktowanie DPIA jako jednorazowego obowiązku o charakterze czysto formalnym, sporządzanego już po wdrożeniu danego systemu lub usługi. Innym częstym uchybieniem jest brak aktualizacji oceny skutków w sytuacji, gdy zmienia się technologia, zakres przetwarzanych danych lub kontekst biznesowy. Administratorzy nierzadko zapominają również o konieczności udokumentowania konsultacji z Inspektorem Ochrony Danych lub pomijają głos osób, których dane dotyczą, choć art. 35 ust. 9 RODO wskazuje, że w stosownych przypadkach administrator powinien zasięgnąć opinii tych osób lub ich przedstawicieli.

Podsumowanie

Artykuł 35 RODO stanowi fundament nowoczesnego podejścia do ochrony prywatności, opartego na analizie ryzyka. Prawidłowo przeprowadzona ocena skutków dla ochrony danych nie tylko chroni osoby fizyczne przed naruszeniem ich praw, ale stanowi również tarczę ochronną dla samego administratora. Dokument ten jest kluczowym dowodem w przypadku kontroli organu nadzorczego, potwierdzającym, że podmiot dochował należytej staranności i działał zgodnie z zasadą rozliczalności. Ignorowanie tego obowiązku lub jego powierzchowne traktowanie może skutkować nie tylko utratą zaufania klientów, ale również dotkliwymi karami administracyjnymi nakładanymi przez PUODO.