ÚOOÚ - Metodika obecného posouzení vlivu na ochranu osobních údajů

Úřad pro ochranu osobních údajů uveřejnil na svých webových stránkách metodickou pomůcku určenou zejména správcům osobních údajů týkající se jejich povinnosti provést posouzení vlivu na ochranu osobních údajů (DPIA). 

V rámci výkonu konzultačních agend a legislativy bylo v letech 2018 a 2019 shledáno, že jednotliví správci dostatečným způsobem a správně nevyužívají nové nástroje ochrany osobních údajů, které přineslo obecné nařízení (GDPR). Tápou hlavně v základním přístupu pro nastavení složitějších agend s osobními údaji, zejména u zpracování posouzení vlivu na ochranu osobních údajů (DPIA). Tato povinnost je dána v obecném nařízení ve dvojí formě jak soukromoprávním správcům, tak státu v rámci návrhu právních předpisů. 

Ve druhém (legislativním) případě se jedná o zásadní náležitost zpracování, protože podle § 10 zákona č. 110/2019 Sb., o zpracování osobních údajů, mají subjekty (orgány veřejné moci), pokud je jim zpracování osobních údajů uloženo zákonem, udělenu výjimku z povinnosti provést DPIA. 

Kvalitní a podrobná DPIA provedená v rámci návrhu právních předpisů je tak od okamžiku účinnosti nového zákona jediným a nezbytným návodem pro instruování správců a zpracovatelů, vodítkem pro poznání, jaké hrozby na osobní údaje působí, jaké jsou dopady do soukromí a jaká technická a organizační opatření mají při zpracováních uložených zákonem tyto subjekty přijmout.

V rámci připomínkových řízení k návrhu právních předpisů se ukázalo, že předkladatelé nemají v řadě případů příliš jasno, jak má takové posouzení vypadat. Často šlo pouze o slovní hodnocení bez konkrétních informací týkajících se popisu hrozeb, dopadů do soukromí a navrhovaných technických a organizačních opatření. Byť Úřad zveřejnil dokument Návod k posouzení vlivu na ochranu osobních údajů u návrhů právních předpisů (DPIA), vyvstala zjevná potřeba metodiky s příklady typů analýz, hrozeb a rizik.

Materiál je metodikou a jeho dodržování je doporučené. Pokud subjekt provádějící DPIA zvolí metodiku jinou, ale výsledná DPIA pokryje povinné požadavky dle obecného nařízení, potom je to přípustné. Bez znalosti takové metodiky je však úplnost a správnost DPIA obtížně hodnotitelná (typicky u návrhů právních předpisů).

Může zároveň podléhat dalším změnám v závislosti na zkušenostech získaných při praktickém uplatnění a také v závislosti na tom, zda se příslušné evropské orgány rozhodnou tento problém řešit jednotně v rámci Evropské unie. Úřad však zatím takový signál nemá.

Kompletní Metodiku obecného posouzení vlivu na ochranu osobních údajů naleznete v přiloženém souboru níže.

Přiložené soubory


Téma: Vzdělávání, Zdroj: Úřad pro ochranu osobních údajů
Štítky: Posouzení vlivu na ochranu osobních údajů (DPIA)
23.11.2020 (autor Redakce)





Související

Úřad zaktualizoval dokument k povinnosti správců provádět DPIA

Úřad pro ochranu osobních údajů připravil aktualizovanou verzi dokumentu „K povinnosti správců provádět...

 vydáno 09.01.2020 
Téma: Dokumentace GDPR

Úřad předkládá k veřejné diskusi metodiku DPIA

Návrh metodiky obecného posouzení vlivu na ochranu osobních údajů (DPIA) zveřejnil k veřejné diskuzi na...

 vydáno 25.10.2019 
Téma: Dokumentace GDPR

K povinnosti správců provádět posouzení vlivu na ochranu osobních údajů

Úřad uveřejnil na svých webových stránkách dokument „K povinnosti správců provádět posouzení vlivu na...

 vydáno 12.02.2019 
Téma: Evidence zpracování


www.helpgdpr.cz
© Copyright 2000 - 2021, všechna práva vyhrazena - European Business Enterprise, a.s., Masarykovo nám. 14, Říčany
Firma je zapsána v obchodním rejstříku vedeném Městským soudem v Praze, oddíl B, vložka 8892, IČ 25130382, DIČ CZ25130382
E-mail: info@ebe.cz