DPIA: posúdenie vplyvu ako riadenie rizík v GDPR

Predstavte si, že zavádzate kamerový systém pre celú prevádzku, nábor s automatizovaným hodnotením kandidátov alebo systém profilujúci klientov. Keď zaznie otázka „nepotrebujeme na to posúdenie vplyvu?“, väčšina firiem reaguje jedným z dvoch spôsobov, buď ju odbije ako zbytočnú formalitu, alebo narýchlo vyplní formulár a odloží ho, bez toho, aby výsledky posúdenia skutočne premietla do nastavenia systému.

Obe reakcie vychádzajú z rovnakého nedorozumenia. Firmy berú posúdenie vplyvu len ako papier, ktorý ich má ochrániť pred pokutou. Lenže neposudzuje riziko pre vašu firmu. Posudzuje riziko pre práva a slobody ľudí, ktorých údaje spracúvate. To je celý posun a zároveň dôvod, prečo sa to tak často robí zle.

Keď posúdenie chápete ako obranu firmy, hodnotíte, či vám hrozí pokuta, a miniete podstatu. Keď ho chápete správne, pýtate sa, čo zlé sa môže stať človeku, ak jeho údaje uniknú, neúmyselne sa zmenia alebo sa zneužijú, a podľa toho volíte opatrenia. Pri kontrole aj pri reálnom incidente obstojí len ten druhý prístup.

Čo hovorí legislatíva

Posúdenie vplyvu na ochranu osobných údajov je upravené v čl. 35 Nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 a v slovenskom zákone č. 18/2018 Z. z. o ochrane osobných údajov, konkrétne v § 42. Povinnosť ho vykonať vzniká ešte pred začatím spracúvania, ktoré pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb.

Na Slovensku k tomu pristupuje ešte jeden predpis, na ktorý sa často zabúda: vyhláška Úradu na ochranu osobných údajov Slovenskej republiky č. 158/2018 Z. z. o postupe pri posudzovaní vplyvu na ochranu osobných údajov, účinná od 15. júna 2018. Upravuje, ako má prevádzkovateľ pri posudzovaní podľa § 42 postupovať, a v niektorých bodoch ide ďalej než samotné nariadenie. Kto sa riadi len článkom 35, splní nariadenie a nesplní slovenský predpis.

Článok 35 ods. 3 uvádza tri typické prípady: systematické a rozsiahle hodnotenie ľudí na základe automatizovaného spracúvania vrátane profilovania, z ktorého vychádzajú rozhodnutia s právnymi alebo podobne závažnými účinkami; rozsiahle spracúvanie osobitných kategórií údajov alebo údajov týkajúcich sa uznania viny za trestné činy a priestupky; a rozsiahle systematické monitorovanie verejne prístupných miest. Nie je to úplný zoznam, je to ukážka, a práve preto potrebujete metódu, ktorou medzeru vyplníte.

Dozorný orgán má k tomu dva nástroje. Podľa čl. 35 ods. 4 zverejňuje zoznam operácií, pri ktorých je posúdenie povinné, a slovenský úrad taký zoznam zverejnil. Podľa čl. 35 ods. 5 môže zverejniť aj opačný zoznam, teda operácie, pri ktorých sa posúdenie nevyžaduje. Slovenský úrad k druhému zoznamu nepristúpil, takže ho nehľadajte.

Ako zistíte, či posúdenie potrebujete

Toto je prvá a v praxi najdôležitejšia fáza, ktorej sa hovorí prahová analýza. Nejde v nej o to, či sa vám tri prípady z nariadenia „zdajú“ podobné vašej situácii, ale o posúdenie podľa kritérií.

Usmernenie, ktoré prevzal Európsky výbor pre ochranu údajov, uvádza deväť kritérií vysokého rizika:

1. hodnotenie alebo prideľovanie bodov vrátane profilovania a predpovedania,
2. automatizované rozhodovanie s právnym alebo podobne závažným účinkom,
3. systematické monitorovanie,
4. citlivé údaje alebo údaje veľmi osobnej povahy,
5. údaje spracúvané vo veľkom rozsahu,
6. spájanie alebo kombinovanie súborov údajov,
7. údaje týkajúce sa zraniteľných dotknutých osôb,
8. inovačné využitie nových technologických alebo organizačných riešení,
9. spracúvanie, ktoré bráni dotknutým osobám uplatniť právo alebo využiť službu či zmluvu.

Platí pri nich orientačné pravidlo dvoch: čím viac kritérií spracúvanie napĺňa, tým je pravdepodobnejšie, že predstavuje vysoké riziko, a spracúvanie napĺňajúce aspoň dve sa spravidla za vysokorizikové považuje.

Rozdiel oproti odhadu je praktický. Vezmite kamerový systém, ktorý sníma pracovisko. Napĺňa kritérium systematického monitorovania a zároveň kritérium údajov zraniteľných dotknutých osôb, keďže medzi ne patria aj zamestnanci pre ich podriadené postavenie. Dve kritériá, teda kandidát na povinné posúdenie. Bez nich by ste sa spoliehali na to, že verejne prístupné miesta v čl. 35 ods. 3 sa vás netýkajú, a záver by bol opačný.

Druhým nástrojom je zoznam úradu podľa čl. 35 ods. 4. Tam už nejde o pravdepodobnosť, ale o uvedené operácie, pri ktorých je posúdenie povinné. Patrí naň napríklad monitoring práce zamestnanca vykonávaný na základe vážnych dôvodov vyplývajúcich z osobitnej povahy činnosti zamestnávateľa, čo je presne to, čo upravuje Zákonník práce pri monitorovaní zamestnancov.

Čo má posúdenie obsahovať

Podľa čl. 35 ods. 7 sú to štyri veci: systematický opis spracovateľských operácií a účelov, posúdenie nevyhnutnosti a primeranosti vo vzťahu k účelu, posúdenie rizík pre práva a slobody dotknutých osôb a opatrenia na zvládnutie týchto rizík.

Vyhláška č. 158/2018 Z. z. k tomu pridáva požiadavky, ktoré samotné nariadenie takto výslovne neuvádza. Tri z nich stoja za zapamätanie:

• Opis plánovaného spracúvania má byť systematickým opisom zameraným na povahu, rozsah, kontext a účely spracúvania.
• Ak spracúvate na základe oprávneného záujmu, opis má obsahovať konkrétnu charakteristiku tohto záujmu prevádzkovateľa alebo tretej strany vrátane podmienok, na ktorých základe môže dotknutá osoba spracúvanie primerane očakávať. Nadväzuje to na test vyváženosti, ktorý ste robili pri určení právneho základu.
• Ak sa na spracúvanie vzťahuje schválený kódex správania, súčasťou opisu sú odkazy na jeho príslušné časti. Úrad pri posudzovaní zohľadňuje aj certifikát.

K obsahu pristupujú tri procesné povinnosti, ktoré sa vynechávajú najčastejšie.

Stanovisko zodpovednej osoby. Ak je určená, prevádzkovateľ je povinný jej stanovisko pri posudzovaní vyžiadať (čl. 35 ods. 2, § 42 ods. 2). Nie je to voľba, ale povinnosť.

Názory dotknutých osôb. Ak je to vhodné, prevádzkovateľ zisťuje názory dotknutých osôb alebo ich zástupcov (čl. 35 ods. 9). Pri monitorovaní zamestnancov sa to priamo prekrýva s prerokovaním so zástupcami zamestnancov podľa Zákonníka práce, takže obe povinnosti viete splniť jedným krokom.

Preskúmanie posúdenia. Ak sa zmení riziko spojené so spracúvaním, posúdenie treba preskúmať (čl. 35 ods. 11). Spúšťačom býva zmena účelu, rozsahu, použitej technológie alebo dodávateľa. Bez tohto kroku ostane posúdenie presne tým odloženým papierom, ktorý sme kritizovali v úvode.

Prečo je to riadenie rizík

Všimnite si, že tá štruktúra je vám povedomá, ak ste čítali predošlé články tejto série. Opíš, posúď riziko, navrhni opatrenie. Je to ten istý proces riadenia rizík, aký pozná ISO 31000:2018, len s jediným, ale zásadným rozdielom: hodnotené riziko nie je riziko pre vašu firmu, ale pre človeka. Práve týmto sa posúdenie vplyvu líši od starého bezpečnostného projektu, ktorý chránil záujmy organizácie.

Za posúdenie zodpovedáte vy ako prevádzkovateľ, aj keď spracúvanie technicky zabezpečuje niekto iný. Neznamená to však, že ste na to sami. Sprostredkovateľ je povinný poskytnúť vám pri posudzovaní vplyvu súčinnosť a táto povinnosť patrí do zmluvy podľa čl. 28. V praxi je to jediná páka, ktorou od dodávateľa získate technické podklady, bez ktorých posúdenie nespravíte.

Čo ak riziko zostane vysoké aj po opatreniach

Ak z posúdenia vyplynie, že spracúvanie by aj po prijatí opatrení predstavovalo vysoké riziko, musíte pred začatím spracúvania konzultovať s Úradom na ochranu osobných údajov (čl. 36 GDPR, § 43 zákona č. 18/2018 Z. z.). Úradu sa predkladá samotné posúdenie spolu s informáciami o zodpovednosti jednotlivých strán, o účeloch a prostriedkoch spracúvania, o prijatých opatreniach a zárukách a kontakt na zodpovednú osobu.

Podstatné je poradie: do vyjadrenia úradu sa so spracúvaním nezačína. Je to jediný výstup celého procesu, ktorý zakladá povinnosť voči úradu, a jediný, pri ktorom platí zákaz spustenia. Kto o ňom nevie, spraví posúdenie, zapíše opatrenia, uvidí, že zvyškové riziko je stále vysoké, a systém spustí.

Kde má zmysel začať

Praktickým vstupným bodom nie je stiahnutý vzor z internetu, ale záznam o spracovateľských činnostiach podľa čl. 30. Keď si v ňom prejdete jednotlivé činnosti a posúdite ich podľa deviatich kritérií a podľa zoznamu úradu, dostanete zoznam kandidátov na posúdenie vplyvu.

Ak máte záznam úplný a aktuálny, prahová analýza je otázka jedného popoludnia. Ak ho nemáte, a to je bežnejší stav, začnite ním, lebo bez prehľadu o vlastných spracúvaniach nie je čo posudzovať.

Ďalej postupujte v tomto poradí: vyžiadajte stanovisko zodpovednej osoby, ak je určená; zistite názory dotknutých osôb, ak je to vhodné; spravte posúdenie podľa čl. 35 ods. 7 a vyhlášky; a ak zvyškové riziko zostáva vysoké, zastavte a konzultujte s úradom.

Jedna vec, ktorá sa mi v praxi externej zodpovednej osoby potvrdzuje: posúdenie vplyvu má najväčšiu hodnotu vtedy, keď ho neberiete ako formulár pre úrad, ale ako otázku, čo sa môže stať vašim zákazníkom a zamestnancom. Vtedy z neho má úžitok aj firma, aj ľudia, ktorých sa to týka.

Veľa firiem robí chybu: buď posúdenie nerobí tam, kde má, alebo ho robí zbytočne na všetko. Ako pri každom riadení rizík platí primeranosť, a práve na to slúži prahová analýza.

Ak potrebujete prejsť, ktoré z vašich spracúvaní vyžadujú posúdenie vplyvu, a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Ako externá zodpovedná osoba pritom pôsobíme nezávisle a bez konfliktu záujmov, ako to vyžaduje čl. 38 GDPR. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.