Ocena skutków: kiedy jest obowiązkowa
Przy prawdopodobnie wysokim ryzyku art. 35 RODO wymaga oceny skutków przed rozpoczęciem przetwarzania. Próg jest niższy, niż wielu zakłada – a moment przeprowadzenia to właściwy problem.
Ocena skutków nie jest kontrolą po fakcie, lecz narzędziem planowania. Ma uwidocznić ryzyka, dopóki przedsięwzięcie da się jeszcze zmienić – i właśnie dlatego musi istnieć przed rozpoczęciem przetwarzania, nie po pierwszej skardze.
Kiedy jest obowiązkowa
Art. 35 ust. 3 wymienia trzy przypadki, w których jest zawsze wymagana: rozległa ocena aspektów osobowych w sposób zautomatyzowany, przetwarzanie na dużą skalę szczególnych kategorii danych oraz systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie.
Obok tego każdy organ nadzorczy prowadzi własną listę operacji, dla których ocena jest obowiązkowa. Listy te są publikowane i stanowią najszybsze wejście w temat.
Reguła kciuka Europejskiej Rady Ochrony Danych
Co należy do dokumentu
- Opis planowanego przetwarzania: cele, rodzaje danych, osoby, odbiorcy, terminy, wykorzystywana technika.
- Ocena niezbędności i proporcjonalności – czy cel da się osiągnąć mniejszą ilością danych?
- Ryzyka dla praw i wolności – z perspektywy osób, których dane dotyczą, nie firmy.
- Planowane środki zaradcze i ryzyko szczątkowe po ich wdrożeniu.
Gdy ryzyko szczątkowe pozostaje wysokie
Jeśli po wszystkich planowanych środkach pozostaje wysokie ryzyko, art. 36 wymaga uprzednich konsultacji z organem nadzorczym. Organ ma osiem tygodni na odpowiedź, z możliwością przedłużenia o kolejne sześć. Do tego czasu przetwarzania nie wolno rozpocząć.
W praktyce takie konsultacje są rzadkie – nie dlatego, że rzadkie są wysokie ryzyka szczątkowe, lecz dlatego, że przedsięwzięcie z reguły zostaje zmienione, gdy ocena uwidoczni ryzyko. Właśnie o to w niej chodzi.
Ocena skutków kończąca się wnioskiem, że wszystko jest w porządku, była albo zbędna, albo spóźniona.