Zlom v GDPR

Nařízení GDPR stále obsahuje diskutabilní části. Týká se to například nutnosti  posuzovat dopady na ochranu osobních údajů. Jelikož se tato zpracování zdají být značně riziková, je jim ze strany národních regulátorů věnovaná vysoká pozornost.

Český Úřad pro ochranu osobních údajů není žádnou výjimkou a již v minulosti vydal dokument zvaný K povinnosti správců provádět posouzení vlivu na ochranu osobních údajů (DPIA). V tomto návodu podrobněji úřad uvedl zejména kritéria a parametry, které jsou používány při samotném ad hoc posouzení „rizikovosti“ daného zpracovávání. Popsal zde například údaje vysoce osobní povahy, zpracovávání velkého rozsahu, zpracování s omezeným ovlivněním subjekty údajů a v neposlední řadě zpracování osobních údajů v nových a technologicky složitých řešení a platformách.

Pro odbornou veřejnost nebyl tento dokument ničím překvapivým, neboť se český regulátor do jisté míry inspiroval dokumentem WP248 z roku 2017 s názvem Pokyny pro posouzení vlivu na ochranu osobních údajů a stanovení, zda je pravděpodobné, že zpracování údajů bude mít za následek vysoké riziko pro účely nařízení 2016/679, který vydala Working Party 29.

Přezkoumání povinnosti správců, zda dělat posouzení vlivu je první „fází“, po které následuje otázka, jakým způsobem ji  činit. Za tímto účelem předložil český Úřad pro ochranu osobních údajů v říjnu letošního roku k veřejné diskuzi metodiku zabývající se tímto tématem. Ta je primárně určena pro potřeby správců, ale v praxi bude využívána i zpracovateli a dalšími zainteresovanými osobami. Úřad očekává, že k současné verzi metodiky bude až do poloviny prosince sbírat připomínky, aby v první polovině roku 2020 vydal finální verzi, která bude navrhované úpravy reflektovat.

Samotné posouzení vlivu se obecně (i podle nové metodiky úřadu) uskutečňuje ve čtyřech krocích – shromáždění informací o zpracování osobních údajů, následuje analýza, zda je povinné zpracovávat posouzení vlivu, poté vlastní posouzení vlivu a na závěr monitoring dodržování opatření a pravidelné revize posouzení vlivu.

Pro pochopení celé problematiky posouzení je dobré vysvětlit, jak současná metodika vypadá a jakým způsobem se vypracování takového posouzení vlivu uskutečňuje. Celý postup je rozdělený do několika dílčích fází. Ty je v praxi doporučováno dodržet, aby nedošlo k opomenutí žádného faktoru, který má na posuzování vliv.

Autoři jsou právníky společnosti DLA Piper