Kiedy ocena skutków dla ochrony danych jest obowiązkowa? WAŻNY KOMUNIKAT UODO!

W myśl art. 35 ust. 4 RODO obowiązkiem organu nadzorczego jest ustanowienie i podanie do publicznej wiadomości  wykazu rodzajów operacji przetwarzania podlegających wymogowi dokonania oceny skutków dla ochrony danych. Wobec tego Prezes UODO w oparciu o art. 54 ust. 1 pkt 1 w związku z art. 172 o ochronie danych osobowych ogłosił wykaz rodzajów takich operacji. Wykaz ogłoszony przez Prezesa UODO zawiera 9 kategorii rodzajów przetwarzania, dla których obowiązkowe będzie dokonanie oceny skutków dla ochrony danych wraz z przykładami operacji, w których może wystąpić wysokie ryzyko naruszenia i przykładami potencjalnych obszarów obejmujących te operacje, a mianowicie:

1) ewaluacja lub ocena, w tym profilowanie i przewidywanie (analiza behawioralna) w celach wywołujących negatywne skutki prawne, fizyczne, finansowe lub inne niedogodności dla osób fizycznych;

2) zautomatyzowane podejmowanie decyzji wywołujących skutki prawne, finansowe lub podobne istotne skutki;

3) systematyczne monitorowanie na dużą skale miejsc dostępnych publicznie wykorzystujące elementy rozpoznawania cech lub właściwości obiektów, które znajdą się w monitorowanej przestrzeni (do tej grupy systemów nie są zaliczane systemy monitoringu wizyjnego, w których obraz jest nagrywany i wykorzystywany tylko w przypadku potrzeby analizy incydentów naruszenia prawa);

4) dane przetwarzane na dużą skalę, gdzie pojęcie dużej skali dotyczy: liczby osób, których dane są przetwarzane, zakresu przetwarzania, okresu przechowywania danych oraz geograficznego zakresu przetwarzania;

5) przetwarzanie szczególnych kategorii danych osobowych i dotyczących wyroków skazujących i czynów zabronionych

6) przeprowadzanie porównań, ocena lub wnioskowanie na podstawie analizy danych pozyskanych z różnych źródeł;

7) przetwarzanie danych dotyczących osób, których ocena i świadczone im usługi są uzależnione od podmiotów lub osób, które dysponują uprawnieniami władczymi i/lub oceniającymi;

8) innowacyjne wykorzystanie lub zastosowanie rozwiązań technologicznych lub organizacyjnych;

9) gdy przetwarzanie samo w sobie uniemożliwia osobom, których dane dotyczą, wykonywanie prawa lub korzystanie z usługi lub umowy.

Wykaz zawiera także przykłady operacji/zakresu danych/okoliczności, w których może wystąpić wysokie ryzyko naruszenia dla danego rodzaju operacji przetwarzania, a także potencjalne obszary wystąpienia ewentualnie istniejące obszary zastosowań.

Ogłoszony wykaz nie obejmuje czynności przetwarzania związanych z oferowaniem towarów lub usług osobom, których dane dotyczą, lub z monitorowaniem ich zachowania w kilku państwach członkowskich lub mogące znacznie wpłynąć na swobodny przepływ danych osobowych w Unii. Czynności te zostaną bowiem opublikowane w wykazem ogłoszonym w komunikacie po wydaniu opinii przez Europejską Radę Ochrony Danych.