ocena skutków dla ochrony danych

Ocena skutków dla ochrony danych (ang. data protection impact assessment, DPIA) to analiza, którą administrator przeprowadza przed rozpoczęciem przetwarzania, jeżeli dany rodzaj przetwarzania, zwłaszcza z użyciem nowych technologii, z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych ^[1]. Obowiązek wynika z art. 35 RODO, a art. 36 dodaje do niego uprzednie konsultacje z organem nadzorczym ^[1]. Motyw 84 rozporządzenia wyjaśnia cel: oszacować źródło, charakter, specyfikę i powagę ryzyka, a wyniki uwzględnić przy doborze środków ^[1].

Kiedy jest wymagana

Rozporządzenie wymienia trzy sytuacje, w których ocena jest wymagana w szczególności ^[1]:

• systematyczna, kompleksowa ocena czynników osobowych oparta na przetwarzaniu zautomatyzowanym, w tym profilowaniu, która jest podstawą decyzji wywołujących skutki prawne albo podobnie istotnych;
• przetwarzanie na dużą skalę szczególnych kategorii danych albo danych o wyrokach skazujących;
• systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie.

Art. 35 ust. 4 nakłada na organ nadzorczy obowiązek opublikowania wykazu operacji, które wymagają oceny ^[1]. W Polsce Prezes UODO ogłosił go komunikatem z 17 czerwca 2019 roku w Monitorze Polskim pod pozycją 666 ^[3]. Wykaz obejmuje 12 kategorii, a zasadą jest, że przetwarzanie spełniające co najmniej dwa kryteria wymaga oceny skutków ^[2].

Przykłady w drugiej kolumnie są ilustracją; o obowiązku decyduje analiza konkretnego przetwarzania. Dla podobnych operacji o podobnym wysokim ryzyku rozporządzenie pozwala przeprowadzić jedną wspólną ocenę ^[1].

Co zawiera

Art. 35 ust. 7 określa minimalną treść oceny ^[1]:

1. systematyczny opis planowanych operacji i celów przetwarzania, w tym prawnie uzasadnionych interesów administratora;
2. ocenę, czy operacje są niezbędne i proporcjonalne w stosunku do celów;
3. ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą;
4. środki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia i mechanizmy bezpieczeństwa.

Trzeci punkt to w praktyce szacowanie ryzyka, ale z innej perspektywy niż zwykła analiza bezpieczeństwa informacji. Liczy się szkoda dla osób, których dane dotyczą, a nie dla organizacji. Czwarty punkt obejmuje środki znane z art. 32, takie jak szyfrowanie, ograniczenie dostępu i zdolność do odtworzenia danych po incydencie ^[1].

Jeżeli wyznaczono inspektora ochrony danych, administrator konsultuje się z nim przy ocenie ^[1]. Obowiązek przeprowadzenia oceny ciąży jednak na administratorze i nie może on przenieść go na inspektora ^[2]. W stosownych przypadkach administrator zasięga też opinii osób, których dane dotyczą, lub ich przedstawicieli ^[1].

Przebieg i uprzednie konsultacje

Ocena poprzedza przetwarzanie i nie kończy się w dniu jego uruchomienia. Administrator dokonuje przeglądu przynajmniej wtedy, gdy zmienia się ryzyko wynikające z operacji przetwarzania ^[1]. Schemat poniżej pokazuje ten cykl.

RYS. 1Ocena skutków w cyklu życia przetwarzania

Jeżeli ocena wskaże, że bez dodatkowych środków przetwarzanie powodowałoby wysokie ryzyko, administrator przed rozpoczęciem przetwarzania konsultuje się z organem nadzorczym ^[1]. Organ, który uzna zamierzone przetwarzanie za naruszające rozporządzenie, udziela pisemnego zalecenia w terminie do ośmiu tygodni od wpłynięcia wniosku; termin można przedłużyć o sześć tygodni ^[1]. Do wniosku o uprzednie konsultacje składanego do UODO należy załączyć pełną ocenę skutków dla ochrony danych ^[4]. Konsultacje uruchamia więc wysokie ryzyko szczątkowe, czyli takie, którego zaplanowane środki nie obniżają ^[1].

W WordPressie

Typowa strona firmowa z formularzem kontaktowym rzadko spełnia dwa kryteria z wykazu. Sytuacja zmienia się, gdy WordPress obsługuje duży sklep, platformę członkowską, rekrutację, rezerwacje medyczne albo gdy wtyczki marketingowe profilują odwiedzających. Wtedy ocena skutków dotyczy nie samego WordPressa, lecz całego procesu: rdzenia, motywu, wtyczek i zewnętrznych usług, do których trafiają dane.

Opis operacji przetwarzania warto oprzeć na pytaniach, które dokumentacja WordPressa stawia autorom wtyczek ^[5]:

• czy wtyczka przekazuje dane osobowe stronom trzecim, na przykład zewnętrznym API;
• gdzie przechowuje dane: w metadanych użytkownika, opcjach czy własnych tabelach;
• czy zapisuje dane w przeglądarce przez ciasteczka lub pamięć lokalną;
• czy zbiera telemetrię, osadza skrypty zewnętrzne, piksele śledzące albo ramki.

Te pytania pokrywają się z punktem pierwszym art. 35 ust. 7. Dokumentacja podkreśla też potrzebę ograniczania danych zapisywanych w logach i dostępu do nich zgodnie z rolami i uprawnieniami ^[5]; zob. role i uprawnienia użytkowników.

Narzędzia prywatności w rdzeniu, czyli strona polityki prywatności oraz eksport i usuwanie danych osobowych, pomagają realizować prawa osób, ale dokumentacja zaznacza, że same w sobie nie są procesem zapewniania zgodności ^[6]. Nie obejmują też zwykle danych zbieranych przez usługi zewnętrzne, takie jak narzędzia analityczne, newslettery czy osadzone multimedia ^[6]. Do oceny skutków trzeba więc dołączyć przepływy danych poza WordPressem, łącznie z podmiotami przetwarzającymi i zgodą na pliki cookie.

Znaczenie dla bezpieczeństwa

Ocena skutków porządkuje wiedzę o tym, jakie dane strona zbiera i gdzie je wysyła. Ta sama inwentaryzacja jest potrzebna, gdy dojdzie do naruszenia ochrony danych osobowych: administrator szybciej ustali, których osób i kategorii danych dotyczy incydent. Środki wskazane w ocenie, takie jak szyfrowanie czy ograniczenie zakresu zbieranych pól formularza, zmniejszają skutki ewentualnego wycieku.

Naruszenie obowiązków z art. 25–39, w tym obowiązku przeprowadzenia oceny skutków, podlega administracyjnej karze pieniężnej do 10 000 000 EUR, a w przypadku przedsiębiorstwa do 2% całkowitego rocznego światowego obrotu, przy czym stosuje się kwotę wyższą ^[1].

Dobre praktyki

• Przeprowadzić ocenę na etapie projektu, zanim formularz, wtyczka lub integracja zacznie zbierać dane; zob. uwzględnianie ochrony danych w fazie projektowania (privacy by design).
• Sprawdzić przetwarzanie z wykazem UODO i zapisać, które kryteria spełnia ^[2].
• Oceniać ryzyko z perspektywy osób, których dane dotyczą, a nie tylko firmy.
• Wracać do oceny po każdej istotnej zmianie: nowej wtyczce, nowym odbiorcy danych, nowym celu ^[1].
• Przechowywać ocenę jako dowód rozliczalności razem z polityką bezpieczeństwa.