Ocena skutków przetwarzania dla ochrony danych w 8 krokach

W pierwszej kolejności należy opracować wykaz rodzajów operacji przetwarzania, które podlegają wymogowi przeprowadzenia oceny skutków dla ochrony danych. Wykaz powinien być dostosowany do potrzeb danej jednostki organizacyjnej oraz być prowadzony systematycznie. W tym celu można wyznaczyć osobę odpowiedzialną za te czynności. Opis planowanych operacji przetwarzania danych powinien w szczególności uwzględniać:

Kolejny krok to przeprowadzenie oceny niezbędności i proporcjonalności danych, o której mowa w art. 35 ust. 7 lit. b ogólnego rozporządzenia. Należy ustalić, czy cel zebrania danych jest:

Ponadto należy wskazać, czy zebrane dane są przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celu, dla którego zostały zebrane. Poza tym trzeba ocenić, czy realizowane są prawa osób, których dane dotyczą.

Administrator powinien wybrać metodologię przeprowadzenia oceny skutków dla ochrony danych. Dobrze, jeśli będzie ona uwzględniać podstawowe cele i atrybuty ochrony danych osobowych. W szczególności takie jak:

Można wziąć także pod uwagę dodatkowe atrybuty ochrony danych takie jak autentyczność (dane osobowe są takie, jak zadeklarowano) i rozliczalność (działania podmiotu mogą być przypisane w sposób jednoznaczny tylko jemu). Jeżeli administrator nie chce korzystać z dostępnych metodologii, może opracować i wdrożyć własny proces realizacji oceny skutków, jednak musi on być zgodny z rodo.

Administrator powinien uwzględnić źródła, charakter, specyfikę i powagę ryzyka w swojej jednostce organizacyjnej. W szczególności powinien wziąć pod uwagę atrybuty ochrony danych (poufność, dostępność, integralność). W odniesieniu do każdego ryzyka powinien ustalić, czy zostały uwzględnione źródła tego ryzyka, potencjalne skutki i zagrożenia dla praw lub wolności osób, których dane dotyczą.

Kolejna kwestia to określenie środków zaradczych pozwalających uniknąć lub zminimalizować zidentyfikowane ryzyka dla procesów przetwarzania danych. Jeżeli administrator nie zdoła określić wystarczających środków zaradczych, powinien w tym celu skonsultować się z organem nadzorczym.

Administrator powinien konsultować się z inspektorem ochrony danych, przeprowadzając ocenę skutków przetwarzania – jeżeli został on wyznaczony. Warto, aby sformalizował udział inspektora w tych czynnościach, np. wprowadzając odpowiednie zapisy do dokumentacji ochrony danych osobowych. W stosownych przypadkach powinien zasięgnąć także opinii osób, których dane dotyczą, w sprawie zamierzonego przetwarzania ich danych.

Administrator danych powinien opracować sprawozdanie z oceny skutków dla ochrony danych oraz dostarczyć je do właściwego organu nadzorczego, jeśli jest to wymagane.

Ostatni etap to poddawanie oceny skutków dla ochrony danych oraz procesów przetwarzania okresowym przeglądom, w szczególności w przypadku zmiany ryzyka związanego z daną operacją przetwarzania.