REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

RODO 2018: ocena skutków przetwarzania

Sylwia Czub-Kiełczewska
Specjalista ds. ochrony danych osobowych i informacji niejawnych
RODO 2018: ocena skutków przetwarzania/fot. shutterstock
RODO 2018: ocena skutków przetwarzania/fot. shutterstock

REKLAMA

REKLAMA

RODO nie dopuszcza możliwości zaakceptowania wysokiego ryzyka dla procesów przetwarzania danych. W takim przypadku administrator powinien przed przetwarzaniem dokonać oceny skutków dla ochrony danych, aby ocenić konkretne prawdopodobieństwo i powagę tego wysokiego ryzyka, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz źródła ryzyka.

Ocena skutków przetwarzania według RODO

Ogólne rozporządzenie o ochronie danych osobowych to ewolucja dotychczasowego podejścia do zapewnienia bezpieczeństwa przetwarzanych danych, które powinno być oparte na ocenie ryzyka. Generalny Inspektor Ochrony Danych w grudniu 2017 roku opublikował dwuczęściowy poradnik: Jak rozumieć podejście oparte na ryzyku wg RODO? Warto do niego sięgnąć, aby zyskać ogólne pojęcie o zasadach szacowania ryzyka. Wadą poradnika jest jego uniwersalność i profesjonalizm, które mają zapewnić, że będzie miał zastosowanie zarówno do małych, jak i dużych organizacji. Dla osoby nie mającej pojęcia o szacowaniu ryzyka (albo w ogóle o ryzyku), może to być zbyt trudne źródło informacji (chociaż rzetelnie opracowane). Chciałabym podkreślić, że RODO nie narzuca żadnych konkretnych metod szacowania ryzyka – to administrator decyduje, jak dokona oceny tego ryzyka. Nie muszą to być wyrafinowane, czy skomplikowane metody. Podmioty publiczne mogą skorzystać z mechanizmów kontroli zarządczej – są im znane i od lat stosowane. Osoby rozpoczynające swoją przygodę z szacowaniem ryzyka, mogą robić tabele (macierze), ale mogą też po prostu wypisywać zidentyfikowane dla danego procesu ryzyka oraz ich skutki, a następnie opisywać co mogłoby je zminimalizować. Jest to metoda tak dobra, jak każda inna, dopóki działa i jest regularnie stosowana (to czy działa bardzo łatwo jest rozpoznać – zła metoda sprawia, że nie jesteśmy w stanie przeprowadzić analizy, utykamy w połowie).Szacowanie ryzyka jest jednym z ważniejszych elementów nowego podejścia do przetwarzania danych. Administrator powinien oceniać ryzyko, dokonywać jego oceny (może ja na przykład zaakceptować, przenieść na inny podmiot lub minimalizować).

REKLAMA

Autopromocja

Polecamy: Multipakiet RODO 2018 dla kadrowych i HR

RODO nie dopuszcza możliwości zaakceptowania wysokiego ryzyka dla procesów przetwarzania danych. W takim przypadku administrator powinien przed przetwarzaniem dokonać oceny skutków dla ochrony danych, aby ocenić konkretne prawdopodobieństwo i powagę tego wysokiego ryzyka, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz źródła ryzyka. Ocena skutków powinna w szczególności obejmować planowane środki, zabezpieczenia i mechanizmy mające minimalizować to ryzyko, zapewniać ochronę danych osobowych oraz wykazać przestrzeganie niniejszego rozporządzenia (motyw 90 RODO).

Ocena skutków powinna zawierać (art. 35 ust. 7 RODO):

  • systematyczny opis planowanych operacji przetwarzania i celów przetwarzania, w tym, gdy ma to zastosowanie – prawnie uzasadnionych interesów realizowanych przez administratora;
  • ocenę, czy operacje przetwarzania są niezbędne oraz proporcjonalne w stosunku do celów;
  • ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą,
  • środki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia oraz środki i mechanizmy bezpieczeństwa mające zapewnić ochronę danych osobowych i wykazać przestrzeganie niniejszego rozporządzenia, z uwzględnieniem praw i prawnie uzasadnionych interesów osób, których dane dotyczą, i innych osób, których sprawa dotyczy.

Innymi słowami ocena ryzyka to opis działania na danych osobowych, które generuje wysokie ryzyko wraz z informacjami, czy działanie jest rzeczywiście niezbędne (czyli uzasadnienie, dlaczego pomimo wysokiego ryzyka administrator chce to robić), jakie mogą być negatywne skutki jego działania dla osób, których dane przetwarza i jakie działania zamierza podjąć, aby zminimalizować ryzyko. Ocena ryzyka pozwala administratorowi rozważyć za i przeciw, zmierzyć się z możliwymi konsekwencjami oraz zaplanować właściwe działania zaradcze. Jeżeli w ramach oceny skutków, administrator znajdzie rozwiązania, które w jego ocenie skutecznie zminimalizują ryzyko, to działanie uznaje się dopuszczalne w myśl RODO.

Dalszy ciąg materiału pod wideo

Może jednak okazać się, że przyjęte rozwiązania nie minimalizują skutecznie ryzyka lub administrator po prostu obawia się ewentualnych negatywnych skutków swojego działania. Wówczas powinien skonsultować się z organem nadzoru (Prezes Urzędu Ochrony Danych). Dopiero po uprzednich konsultacjach będzie mógł dokonywać przetwarzania. Innym rozwiązaniem jest zastosowanie przez administratora zatwierdzonego kodeksu postępowania (gdy już taki będzie) lub skonsultowanie się (o ile to możliwe) z osobami, których będzie dotyczył proces przetwarzania (ale to w wielu przypadkach będzie niemożliwe).

REKLAMA

Ocena skutków powinna być działaniem ciągłym, regularnie powtarzanym, tak samo jak analiza ryzyk i zagrożeń. Są to bardzo dobre mechanizmy służące do audytu przyjętych rozwiązań. Pierwsze analizy, czy oceny mogą wydawać się bardzo subiektywne, a nawet bezsensowne, jednakże to poczucie będzie zmieniać się z każdą kolejną analizą. Sama analiza, jeżeli jest robiona skrupulatnie może trwać nawet miesiącami. Warto pierwsze analizy, czy oceny skutków robić dla kilku pojedynczych procesów. Wówczas będzie nie tylko łatwiej, ale także skuteczniej, bo osoba dokonująca analizy będzie mogła dokładnie przemyśleć swoje decyzje. Administrator oczywiście musi dokumentować, że przeprowadził określone czynności. Musi być w stanie wykazać, że dopełnił obowiązków wynikających z przepisów prawa.

GIODO opublikował pierwszy wykaz (konsultowany obecnie społecznie) czynności przetwarzania, które w jego ocenie zawsze powinny podlegać ocenie skutków: https://giodo.gov.pl/pl/1520281/10430

Polecamy serwis: Ochrona danych osobowych

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

Uprawnienia rodzicielskie - QUIZ
certificate
Jak zdobyć Certyfikat:
  • Czytaj artykuły
  • Rozwiązuj testy
  • Zdobądź certyfikat
1/10
Ile tygodni urlopu macierzyńskiego można maksymalnie wykorzystać jeszcze przed porodem?
nie ma takiej możliwości
3
6
9 - tylko jeśli pracodawca wyrazi na to zgodę
Następne

REKLAMA

Kadry
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
BHP: Komu przysługuje obuwie ochronne?

Obuwie ochronne BHP – kto powinien je stosować i dlaczego jest niezbędne? Odgrywa kluczową rolę w zapewnieniu bezpieczeństwa w miejscu pracy. W wielu branżach stanowi podstawowy środek ochrony indywidualnej, zabezpieczając pracowników przed poważnymi urazami. Dobrze dobrane buty nie tylko chronią stopy przed uderzeniami, przecięciami czy przebiciami, ale także zapewniają stabilność, wygodę i odporność na czynniki środowiskowe. W jakich zawodach obuwie ochronne jest konieczne i jakie zagrożenia może ograniczyć?

Czy dodatek motywacyjny będzie dla wszystkich pracowników? Obecne rozwiązania są krzywdzące

Związek Miast Polskich przyjął stanowisko w sprawie dofinansowania wynagrodzeń pracowników pomocy społecznej. Zdaniem samorządowców włączenie wszystkich pracowników realizujących zadania z zakresu szeroko rozumianej pomocy społecznej do programu dodatku motywacyjnego przełoży się na jakość świadczonych usług.

Obowiązkowe odpisy i dobrowolne zwiększenia na ZFŚS w 2025 r. Ile wynoszą i w jakim terminie je wpłacić?

Do 31 maja 2025 r. pracodawca tworzący zakładowy fundusz świadczeń socjalnych musi wpłacić na rachunek funduszu kwotę stanowiącą co najmniej 75 proc. równowartości dokonanych odpisów. Pozostałą kwotę dokonanych odpisów i zwiększeń należy przekazać na rachunek bankowy ZFŚS w terminie do 30 września 2025 r. Jaka jest wysokość odpisów i zwiększeń na ZFŚS w 2025 r.?

Komu przysługuje renta wdowia i w jakiej wysokości? ZUS zaprasza na dyżur telefoniczny

Od 1 lipca 2025 r. osoby owdowiałe będą mogły pobierać swoją emeryturę oraz powiększyć ją o część renty rodzinnej po zmarłym małżonku. Alternatywnie będą mogły pobierać rentę rodzinną wraz z częścią swojej emerytury. Jak starać się o rentę wdowią odpowiedzą eksperci ZUS podczas dyżuru telefonicznego.

REKLAMA

Komunikat ZUS: Wdrożenie nowej metryki programu Płatnik

Zakład Ubezpieczeń Społecznych informuje o planowanym wdrożeniu nowej metryki 307 dla wersji 10.02.002 programu Płatnik.

Polacy żyją coraz dłużej - GUS opublikował tablicę średniego dalszego trwania życia. Czy ZUS przeliczy emerytury?

Nowa tablica średniego dalszego trwania życia kobiet i mężczyzn wskazuje, że Polacy żyją coraz dłużej. Czy warto składać wnioski o ponowne przeliczenie już otrzymywanej emerytury?

Trwa nabór wniosków o świadczenie wychowawcze. Jak uniknąć przerwy w wypłatach 800 plus?

1 czerwca 2025 r. rozpocznie się nowy okres świadczeniowy w programie 800 plus. Wniosek o świadczenie wychowawcze można złożyć jedynie drogą elektroniczną. Jak można uniknąć przerwy w wypłacie świadczenia?

Jak prawidłowo usprawiedliwić nieobecności w pracy. Nieprzyjemne konsekwencje zaniedbania tego obowiązku

W razie nieobecności w pracy pracownik zobowiązany jest do jej usprawiedliwienia. W tym celu przepisy prawa pracy określają, jakie są przyczyny usprawiedliwiające nieobecność w pracy. Wymieniają też dowody, na podstawie których można usprawiedliwić nieobecność pracownika.

REKLAMA

Zmiany w wynagrodzeniach 2025 i 2026 - transparentnie i jawnie

Do 7 czerwca 2026 roku Polska musi wdrożyć dyrektywę o jawności i przejrzystości wynagrodzeń. Przedsiębiorcy mają niewiele czasu na poważne zmiany w zakresie polityki płacowej. Nowe przepisy oznaczają bowiem konieczność przeprowadzenia wnikliwej analizy struktury płac w firmie, wprowadzenie nowych procedur dotyczących prawa do informacji o wynagrodzeniu i kryteriów ustalania jego wysokości. Choć prace nad ustawą wprowadzającą te przepisy nadal trwają, już teraz warto podjąć działania, które przygotują firmę na nową sytuację.

Najlepiej teraz złóż wniosek o rentę wdowią ERWD. Sprawdź, dlaczego

ZUS podpowiada, że teraz jest najlepszy czas na złożenie wniosku o rentę wdowią ERWD. Dlaczego? Dopiero połowa osób uprawnionych złożyła wniosek o rentę wdowią. Od stycznia były duże kolejki. Kolejna fala wniosków przewidywana jest w maju 2025 r.

REKLAMA