DPIA w urzędzie gminy

RODO nakłada na administratorów danych obowiązek przeprowadzania oceny skutków dla ochrony danych (DPIA). Administrator danych zobligowany jest przeprowadzić ocenę skutków dla ochrony danych (DPIA) zawsze wtedy, gdy:

• spełnione są przesłanki wskazane w art. 35 ust. 1 RODO (tj. gdy dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych) lub
• zachodzą przypadki określone w art. 35 ust. 3 RODO (np. przetwarzanie na dużą skalę szczególnych kategorii danych z art. 9 ust. 1 lub danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o których mowa w art. 10)
• organ nadzorczy ustanowił i podał do publicznej wiadomości wykaz rodzajów operacji przetwarzania podlegających wymogowi dokonania oceny skutków dla ochrony danych na mocy art. 35 ust. 1.

Administrator danych zwolniony jest z obowiązku przeprowadzenia oceny skutków dla ochrony danych, jeżeli operacja przetwarzania, zgodnie z art. 6 ust. 1 lit. c lub e RODO, ma podstawę prawną w prawie UE lub w prawie państwa członkowskiego, które reguluje daną operację przetwarzania, oraz jeżeli oceny skutków dla ochrony danych dokonano już w związku z przyjęciem tej podstawy prawnej (art. 35 ust. 10 RODO), chyba że państwo członkowskie uznało za niezbędne dokonanie oceny skutków dla ochrony danych przed rozpoczęciem czynności przetwarzania.

Opublikowany w Monitorze Polskim komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 sierpnia 2018 r. zawiera wykaz rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków dla ochrony danych na mocy art. 35 ust. 1 RODO. Wykaz ten zawiera przykłady operacji, w których może wystąpić wysokie ryzyko naruszenia i przykłady potencjalnych obszarów obejmujących te operacje. 

Wobec tego administrator danych wykonujący operacje na danych osobowych, których rodzaje zostały wskazane w komunikacie PUODO lub w sytuacji, gdy spełnione są przesłanki wskazane w art. 35 ust. 1 lub ust. 3 RODO powinien przeprowadzić ocenę skutków dla ochrony danych.