DPIA

Příklady z praxe

1. 01

   Biometrický vstup do budovy

   Firma chce nahradit čipové karty otiskem prstu pro 900 zaměstnanců. Jde o rozsáhlé zpracování biometrických údajů, takže DPIA je povinná ještě před pilotem. Posouzení ukáže, že stejného cíle lze dosáhnout uložením pouze matematické šablony otisku v čipu karty místo centrální databáze, čímž riziko úniku klesne a řešení projde bez konzultace s úřadem.

2. 02

   Skórovací model v e-shopu

   E-shop plánuje automaticky odmítat platbu na fakturu podle skóre z historie objednávek, adresy a chování na webu. Jde o systematické vyhodnocování s právním či obdobně významným dopadem, tedy klasický důvod pro DPIA. Součástí výstupu je registr vstupních příznaků a rozhodnutí vyloučit proxy proměnné korelující s národností, plus povinný lidský přezkum na žádost zákazníka.

   # vyrazek z registru priznaku, ktery je prilohou DPIA
   features:
     - name: orders_paid_ratio
       zdroj: interni objednavky
       retence: 24 mesicu
       riziko: nizke
     - name: psc_bydliste
       zdroj: fakturacni adresa
       retence: 24 mesicu
       riziko: vysoke  # proxy pro socioekonomicky status -> VYRAZENO
       stav: vyrazeno_z_modelu
   lidsky_prezkum: povinny pri zamitnuti

Časté omyly

MýtusDPIA se dělá jednou a máme klid.

Ve skutečnostiDPIA platí pro konkrétní podobu zpracování. Změna účelu, přidání nového zdroje dat, nový zpracovatel nebo nasazení modelu na stávající data vyžadují přezkum a aktualizaci dokumentu.

MýtusDPIA musíme mít ke každému zpracování osobních údajů.

Ve skutečnostiPovinnost vzniká jen u zpracování s pravděpodobným vysokým rizikem. Běžná mzdová agenda nebo kontaktní formulář DPIA nevyžadují, ačkoli záznamy o činnostech zpracování se vedou vždy.

MýtusKdyž provedeme DPIA, musíme ji poslat dozorovému úřadu.

Ve skutečnostiDPIA se úřadu neodesílá automaticky. Posílá se jen v rámci předchozí konzultace, tedy tehdy, když zbytkové riziko zůstává vysoké i po zavedení opatření, nebo na vyžádání při kontrole.

Časté dotazy

Kdo v týmu má DPIA reálně napsat?

DPIA je odpovědností správce, tedy vedení organizace, ale text obvykle vzniká spoluprací několika rolí. Produktový vlastník popíše účel a nutnost, vývojáři a architekt datové toky, retenci a technická opatření, právník právní titul a smluvní záruky se zpracovateli. Pověřenec pro ochranu osobních údajů, pokud je jmenován, poskytuje odborné stanovisko a jeho zapojení se do dokumentu zaznamenává. Externí konzultant může proces moderovat, odpovědnost za výsledek ale zůstává na správci a podpis patří osobě, která zpracování schvaluje.

Jak dlouho trvá zpracovat DPIA?

Doba se odvíjí od složitosti zpracování, ne od délky dokumentu. U jednoduššího případu s jasným datovým tokem bývá práce otázkou několika dnů rozložených do dvou tří workshopů. U rozsáhlého systému s desítkami integrací, předáváním mimo EU a strojovým učením jde spíš o týdny, protože největší část času sežere zmapování skutečných datových toků, které často nikdo nemá popsané. Pokud vyjde nutnost předchozí konzultace s dozorovým úřadem, počítá se navíc lhůta osmi týdnů, kterou úřad může prodloužit.

Existuje závazná šablona DPIA?

Závazná šablona neexistuje, GDPR předepisuje jen minimální obsah. Dozorové úřady v jednotlivých členských státech a Evropský sbor pro ochranu osobních údajů však publikují metodiky a vzorové osnovy, které soud i úřad považují za rozumný standard. Volně dostupný je také nástroj francouzského úřadu CNIL, jenž provede posouzením krok za krokem. Praktické je vlastní šablonu sjednotit napříč firmou, aby šla posouzení srovnávat a aby přezkum při změně zpracování nezačínal pokaždé od nuly.

Nahrazuje DPIA bezpečnostní analýzu rizik podle ISO 27001?

DPIA bezpečnostní analýzu rizik nenahrazuje, protože se ptá na jinou věc. Bezpečnostní analýza chrání aktiva organizace, zatímco DPIA posuzuje dopad na práva a svobody konkrétních lidí, tedy i rizika jako diskriminace, ztráta kontroly nad údaji nebo nemožnost uplatnit práva subjektu. Obě analýzy se přesto výhodně propojují: registr aktiv, klasifikace dat a katalog opatření z ISO 27001 tvoří vstup, který DPIA přebírá a doplňuje o pohled dotčené osoby.

Co dělat, když zpracování běží a DPIA chybí?

Chybějící DPIA u již běžícího rizikového zpracování se řeší doplněním co nejdříve, ne mlčením. Správce posouzení zpracuje na aktuální stav, pojmenuje zbytková rizika a přijme nápravná opatření, případně zpracování omezí či pozastaví, dokud rizika nesníží. Pokud i po opatřeních zůstává riziko vysoké, následuje předchozí konzultace s dozorovým úřadem. Dobrovolné a zdokumentované napravení nedostatku bývá při případné kontrole polehčující okolností, zatímco vědomé pokračování bez posouzení je samostatné porušení nařízení.

Zdroje

1. Nařízení (EU) 2016/679 (obecné nařízení o ochraně osobních údajů)(otevře se v novém okně)EUR-Lex, Úřad pro publikace EU, 2016
2. Úřad pro ochranu osobních údajů(otevře se v novém okně)ÚOOÚ
3. Zákon č. 110/2019 Sb., o zpracování osobních údajů(otevře se v novém okně)Zákony pro lidi, 2019
4. Data protection impact assessment(otevře se v novém okně)Wikipedia

Související pojmy

• GDPRGDPR je evropské nařízení pro ochranu osobních údajů, které stanovuje, kdy a jak mohou organizace údaje lidí shromažďovat, používat, sdílet a mazat. Pro vývojáře znamená požadavky na minimalizaci dat, právní důvod zpracování, bezpečnost, auditovatelnost a podporu práv uživatelů, například přístupu k údajům nebo jejich výmazu.
• Zpracovatelská smlouvaZpracovatelská smlouva je právní ujednání mezi správcem osobních údajů a zpracovatelem, které podle GDPR vymezuje, jak zpracovatel smí s údaji nakládat. Určuje účel, dobu, typy údajů, bezpečnostní povinnosti, zapojení dalších zpracovatelů i postup po skončení služby. V praxi brání tomu, aby externí dodavatel používal data volně nebo mimo pokyny správce.
• Zpracování osobních údajůZpracování osobních údajů je jakákoli práce s informací, která přímo nebo nepřímo souvisí s identifikovaným či identifikovatelným člověkem. Patří sem sběr, ukládání, třídění, předávání, úpravy i mazání údajů. V evropském právu vyžaduje právní základ, jasný účel, přiměřený rozsah a odpovědnost správce nebo zpracovatele.
• Účel zpracováníÚčel zpracování je konkrétní důvod, kvůli kterému správce osobních údajů shromažďuje, ukládá, používá nebo předává data. V GDPR určuje hranice přípustného nakládání s údaji, volbu právního základu, rozsah informování lidí i posouzení, zda pozdější použití dat zůstává slučitelné s původním záměrem.
• Pověřenec pro ochranu údajůPověřenec pro ochranu údajů je nezávislá role podle GDPR, která dohlíží na zacházení s osobními údaji v organizaci, radí správci nebo zpracovateli a komunikuje s dozorovým úřadem. DPO nenese odpovědnost za každý soulad, ale pomáhá nastavovat procesy, dokumentaci a reakce na rizika.
• 3-D Secure3-D Secure je protokol, který u online platby kartou ověří, že platí skutečně její držitel, typicky potvrzením v bankovní aplikaci. Při úspěšném ověření se zároveň přenáší odpovědnost za podvodnou transakci z obchodníka na vydavatele karty.
• AcquirerAcquirer je finanční instituce nebo platební poskytovatel, který obchodníkovi umožňuje přijímat karetní platby a předává transakce do karetních schémat. V online platbách stojí mezi platební bránou, vydavatelem karty a obchodníkem, zajišťuje autorizaci, zúčtování, vyplacení peněz a část řízení rizik.
• AI etikaAI etika je obor, který zkoumá, jaké dopady mají systémy umělé inteligence na lidi, a formuluje pravidla pro jejich návrh, trénink a provoz. Řeší zaujatost dat, transparentnost rozhodování, ochranu soukromí, odpovědnost za chybu i bezpečnost modelu. Ve firemní praxi se promítá do interních politik, dokumentace modelů a povinností podle regulace typu AI Act.