DPIA
DPIA (Data Protection Impact Assessment) — ocena skutków dla ochrony danych, obowiązkowa analiza ryzyka dla przetwarzań mogących powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych (art. 35 RODO).
Co to jest DPIA?
DPIA (Data Protection Impact Assessment), po polsku ocena skutków dla ochrony danych lub OSOD, to obowiązkowa procedura analizy ryzyka wymagana przez art. 35 RODO dla przetwarzań mogących powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych.
DPIA dokumentuje: (1) opis czynności przetwarzania i jego celów, (2) ocenę niezbędności i proporcjonalności, (3) ocenę ryzyka dla podmiotów danych, (4) środki przewidziane do zaradzenia ryzyku (TOM — technical and organizational measures).
Kiedy DPIA jest obowiązkowe?
Art. 35.3 RODO wymienia 3 sytuacje wymuszające DPIA. UODO (Prezes UODO) opublikował rozszerzoną listę 12 typów przetwarzań wysokiego ryzyka (komunikat z 2018, aktualizowany):
- Profilowanie i scoring — systematyczna ocena aspektów osobowych, w tym AI/ML podejmujące decyzje
- Dane szczególnej kategorii na dużą skalę — zdrowie, biometria, pochodzenie, przekonania, orientacja
- Systematyczny monitoring — CCTV w miejscach publicznych, tracking pracowników
- Przetwarzanie danych osób podatnych — dzieci, pracownicy, pacjenci
- Innowacyjne technologie — IoT, AI, blockchain, rozpoznawanie biometryczne
- Transfery do państw trzecich bez adekwatnego poziomu ochrony
- Przetwarzanie uniemożliwiające wykonanie praw przez podmiot danych
- Łączenie zbiorów danych z różnych źródeł w celu nowej oceny
- Decyzje zautomatyzowane wywołujące skutki prawne
- Wielkoskalowe przetwarzanie danych pracowniczych
- Dane lokalizacyjne/geolokalizacja w aplikacjach mobilnych
- Nowe zastosowania istniejących technologii (np. rozpoznawanie twarzy w sklepach)
Metodyka DPIA — 6 kroków
- Opis przetwarzania — cel, podstawa prawna, kategorie danych, odbiorcy, czas przechowywania, przepływy danych (DFD)
- Ocena niezbędności — czy cel można osiągnąć mniej inwazyjnymi środkami? Minimalizacja danych.
- Identyfikacja ryzyk — katalog zagrożeń (utrata poufności, dostępności, integralności; dyskryminacja; utrata kontroli; reputational damage)
- Ocena ryzyk — prawdopodobieństwo × waga skutków → macierz ryzyka (niska/średnia/wysoka/krytyczna)
- Środki zaradcze (TOM) — techniczne (szyfrowanie, pseudonimizacja, kontrola dostępu, logi) + organizacyjne (polityki, szkolenia, umowy powierzenia)
- Konsultacja i decyzja — konsultacja z IOD (obowiązkowa), dokumentacja decyzji administratora, ewentualna konsultacja uprzednia z UODO (art. 36 RODO) jeśli ryzyko pozostaje wysokie
Kto wykonuje DPIA?
Odpowiedzialny: administrator danych. Zespół wykonawczy:
- IOD — konsultacja obligatoryjna (art. 35.2 RODO)
- Właściciel procesu — wiedza merytoryczna o celu i sposobie przetwarzania
- IT/Security — projektowanie i ocena TOM
- Prawnik/RODO specjalist — podstawy prawne, dokumentacja, zgodność
DPIA a RODO — relacja
DPIA to jeden z kluczowych obowiązków administratora (art. 35), wpisujący się w zasadę accountability (art. 5.2 RODO — rozliczalność). Brak wykonania DPIA, gdy było wymagane, to naruszenie mogące skutkować karą do 10 mln EUR lub 2% globalnego obrotu (art. 83.4). W praktyce UODO w 2023 r. nałożył kary za brak DPIA na kwotę przeszło 3 mln PLN.
Sprawdź nasze usługi
Najczęściej zadawane pytania
+ Co to jest DPIA?
DPIA (Data Protection Impact Assessment) to ocena skutków dla ochrony danych — procedura analizy ryzyka wymagana przez art. 35 RODO dla przetwarzań mogących powodować wysokie ryzyko dla praw i wolności osób fizycznych. Wynikiem DPIA jest raport dokumentujący zidentyfikowane ryzyka, zastosowane środki techniczne i organizacyjne oraz decyzję administratora o dopuszczalności przetwarzania.
+ Kiedy DPIA jest obowiązkowe?
DPIA jest obowiązkowe gdy: (1) przetwarzanie obejmuje systematyczną, szeroką ocenę osób (profilowanie, scoring), (2) przetwarzane są dane szczególnej kategorii na dużą skalę (zdrowie, biometria, pochodzenie), (3) prowadzony jest systematyczny monitoring miejsc publicznych. UODO opublikował zamkniętą listę 12 typów przetwarzań wysokiego ryzyka — jeśli choć jeden pasuje, DPIA jest wymagane.
+ Czym DPIA różni się od oceny ryzyka?
Ocena ryzyka bezpieczeństwa (np. wg ISO 27005) analizuje ryzyka dla organizacji — utrata poufności, dostępności, integralności. DPIA analizuje ryzyka dla osób fizycznych, których dane są przetwarzane — naruszenie prywatności, dyskryminacja, utrata kontroli nad danymi. DPIA uwzględnia perspektywę podmiotu danych, nie administratora. Oba dokumenty często współistnieją i wzajemnie się uzupełniają.
+ Kto wykonuje DPIA?
Odpowiedzialny jest administrator danych. W praktyce DPIA przygotowuje zespół: IOD (konsultacja obowiązkowa wg art. 35.2 RODO), właściciel procesu biznesowego, IT/security (techniczne środki zabezpieczające), prawnik (podstawy prawne, dokumentacja). Dla złożonych przetwarzań (np. AI, scoring) warto zaangażować zewnętrznego eksperta z doświadczeniem w DPIA.
+ Ile kosztuje DPIA?
Koszt zewnętrznego DPIA zależy od złożoności przetwarzania: proste DPIA (jedno przetwarzanie, standardowe kategorie danych) — 8-15 tys. zł, średnie (wiele powiązanych przetwarzań, profilowanie) — 15-35 tys. zł, złożone (systemy AI, decyzje zautomatyzowane, przetwarzanie transgraniczne) — 35-80 tys. zł. W cenie zazwyczaj raport DPIA, rejestr czynności przetwarzania i rekomendacje technical and organizational measures (TOM).