| IFK | IRB | INFORLEX | GAZETA PRAWNA | INFORORGANIZER | APLIKACJE | KARIERA | SKLEP
Jesteś tutaj: STRONA GŁÓWNA > Kadry > Indywidualne prawo pracy > Ochrona danych osobowych > RODO 2018: ocena skutków przetwarzania

RODO 2018: ocena skutków przetwarzania

RODO nie dopuszcza możliwości zaakceptowania wysokiego ryzyka dla procesów przetwarzania danych. W takim przypadku administrator powinien przed przetwarzaniem dokonać oceny skutków dla ochrony danych, aby ocenić konkretne prawdopodobieństwo i powagę tego wysokiego ryzyka, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz źródła ryzyka.

  • systematyczny opis planowanych operacji przetwarzania i celów przetwarzania, w tym, gdy ma to zastosowanie – prawnie uzasadnionych interesów realizowanych przez administratora;
  • ocenę, czy operacje przetwarzania są niezbędne oraz proporcjonalne w stosunku do celów;
  • ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą,
  • środki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia oraz środki i mechanizmy bezpieczeństwa mające zapewnić ochronę danych osobowych i wykazać przestrzeganie niniejszego rozporządzenia, z uwzględnieniem praw i prawnie uzasadnionych interesów osób, których dane dotyczą, i innych osób, których sprawa dotyczy.

Innymi słowami ocena ryzyka to opis działania na danych osobowych, które generuje wysokie ryzyko wraz z informacjami, czy działanie jest rzeczywiście niezbędne (czyli uzasadnienie, dlaczego pomimo wysokiego ryzyka administrator chce to robić), jakie mogą być negatywne skutki jego działania dla osób, których dane przetwarza i jakie działania zamierza podjąć, aby zminimalizować ryzyko. Ocena ryzyka pozwala administratorowi rozważyć za i przeciw, zmierzyć się z możliwymi konsekwencjami oraz zaplanować właściwe działania zaradcze. Jeżeli w ramach oceny skutków, administrator znajdzie rozwiązania, które w jego ocenie skutecznie zminimalizują ryzyko, to działanie uznaje się dopuszczalne w myśl RODO.

Może jednak okazać się, że przyjęte rozwiązania nie minimalizują skutecznie ryzyka lub administrator po prostu obawia się ewentualnych negatywnych skutków swojego działania. Wówczas powinien skonsultować się z organem nadzoru (Prezes Urzędu Ochrony Danych). Dopiero po uprzednich konsultacjach będzie mógł dokonywać przetwarzania. Innym rozwiązaniem jest zastosowanie przez administratora zatwierdzonego kodeksu postępowania (gdy już taki będzie) lub skonsultowanie się (o ile to możliwe) z osobami, których będzie dotyczył proces przetwarzania (ale to w wielu przypadkach będzie niemożliwe).

Ocena skutków powinna być działaniem ciągłym, regularnie powtarzanym, tak samo jak analiza ryzyk i zagrożeń. Są to bardzo dobre mechanizmy służące do audytu przyjętych rozwiązań. Pierwsze analizy, czy oceny mogą wydawać się bardzo subiektywne, a nawet bezsensowne, jednakże to poczucie będzie zmieniać się z każdą kolejną analizą. Sama analiza, jeżeli jest robiona skrupulatnie może trwać nawet miesiącami. Warto pierwsze analizy, czy oceny skutków robić dla kilku pojedynczych procesów. Wówczas będzie nie tylko łatwiej, ale także skuteczniej, bo osoba dokonująca analizy będzie mogła dokładnie przemyśleć swoje decyzje. Administrator oczywiście musi dokumentować, że przeprowadził określone czynności. Musi być w stanie wykazać, że dopełnił obowiązków wynikających z przepisów prawa.

GIODO opublikował pierwszy wykaz (konsultowany obecnie społecznie) czynności przetwarzania, które w jego ocenie zawsze powinny podlegać ocenie skutków: https://giodo.gov.pl/pl/1520281/10430

Polecamy serwis: Ochrona danych osobowych

Czytaj także

Narzędzia kadrowego

POLECANE

KODEKS PRACY 2019

reklama

Ostatnio na forum

RODO 2018

Eksperci portalu infor.pl

Piotr Barchan

Ekspert ds. Leasingu, Menedżer

Zostań ekspertem portalu Infor.pl »