{"id":4649,"date":"2017-05-17T14:29:41","date_gmt":"2017-05-17T14:29:41","guid":{"rendered":"https:\/\/millercanfield.pl\/?p=4649"},"modified":"2025-04-14T18:04:11","modified_gmt":"2025-04-14T18:04:11","slug":"impact-assessment-under-gdpr","status":"publish","type":"post","link":"https:\/\/millercanfield.pl\/en\/impact-assessment-under-gdpr\/","title":{"rendered":"IMPACT ASSESSMENT UNDER GDPR"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Kolejn\u0105 nowo\u015b\u0107 wprowadzan\u0105 przez Rozporz\u0105dzenie stanowi obowi\u0105zek przeprowadzenia przez administratora danych analizy ryzyka. Wymuszenie takiej analizy, poprzez ustanowienie jej jednym z podstawowych obowi\u0105zk\u00f3w administratora danych w okre\u015blonych przez Rozporz\u0105dzenie sytuacjach, ma na celu zwi\u0119kszenie \u015bwiadomo\u015bci niebezpiecze\u0144stw wyst\u0119puj\u0105cych przy przetwarzaniu danych osobowych. Ewentualny wyciek danych osobowych mo\u017ce, bowiem spowodowa\u0107 znacznie wi\u0119ksze straty ni\u017c jedynie koszt odszkodowa\u0144.<\/p>

W praktyce przeprowadzenie analizy ryzyka zwi\u0105zanego z przetwarzaniem danych osobowych powinno nast\u0105pi\u0107 przed rozpocz\u0119ciem przetwarzania danych przez administratora. Je\u017celi dany rodzaj przetwarzania \u2013 w szczeg\u00f3lno\u015bci z u\u017cyciem nowych technologii \u2013 ze wzgl\u0119du na sw\u00f3j charakter, zakres, kontekst i cele z du\u017cym prawdopodobie\u0144stwem mo\u017ce powodowa\u0107 wysokie ryzyko naruszenia praw lub wolno\u015bci os\u00f3b fizycznych – przeprowadzenie analizy ryzyka jest obligatoryjne.
Zgodnie z Rozporz\u0105dzeniem, przeprowadzaj\u0105c analiz\u0119, administrator danych konsultuje si\u0119 z inspektorem ochrony danych, je\u017celi zosta\u0142 on wyznaczony. Ocena skutk\u00f3w dla ochrony danych jest w szczeg\u00f3lno\u015bci wymagana w przypadku:<\/p>

a) systematycznej, kompleksowej oceny czynnik\u00f3w osobowych odnosz\u0105cych si\u0119 do os\u00f3b fizycznych, kt\u00f3ra opiera si\u0119 na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i jest podstaw\u0105 decyzji wywo\u0142uj\u0105cych skutki prawne wobec osoby fizycznej lub w podobny spos\u00f3b znacz\u0105co wp\u0142ywaj\u0105cych na osob\u0119 fizyczn\u0105;<\/p>

b) przetwarzania na du\u017c\u0105 skal\u0119 szczeg\u00f3lnych kategorii danych osobowych lub danych osobowych dotycz\u0105cych wyrok\u00f3w skazuj\u0105cych i narusze\u0144 prawa; lub<\/p>

c) systematycznego monitorowania na du\u017c\u0105 skal\u0119 miejsc dost\u0119pnych publicznie.<\/p>

Organ nadzorczy ustanawia i podaje do publicznej wiadomo\u015bci wykaz rodzaj\u00f3w operacji przetwarzania podlegaj\u0105cych wymogowi dokonania oceny skutk\u00f3w dla ochrony danych oraz przekazuje te wykazy Europejskiej Radzie Ochrony Danych.<\/p>

Ocena skutk\u00f3w dla ochrony danych b\u0119d\u0105ca wynikiem wykonanej analizy ryzyka powinna zawiera\u0107 co najmniej:<\/p>

\u2013 opis planowanych operacji przetwarzania i cel\u00f3w przetwarzania;
\u2013 ocen\u0119, czy operacje przetwarzania s\u0105 niezb\u0119dne oraz proporcjonalne w stosunku do cel\u00f3w;
\u2013 ocen\u0119 ryzyka naruszenia praw lub wolno\u015bci os\u00f3b, kt\u00f3rych dane dotycz\u0105;
\u2013 \u015brodki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia oraz \u015brodki i mechanizmy bezpiecze\u0144stwa maj\u0105ce zapewni\u0107 ochron\u0119 danych osobowych i wykaza\u0107 przestrzeganie przepis\u00f3w Rozporz\u0105dzenia.<\/p>

Je\u017celi ocena skutk\u00f3w dla ochrony danych wyka\u017ce, \u017ce przetwarzanie mog\u0142oby spowodowa\u0107 wysokie ryzyko, w przypadku nie zastosowania przez administratora \u015brodk\u00f3w maj\u0105cych na celu zminimalizowanie tego ryzyka, to, zgodnie z Rozporz\u0105dzeniem, przed rozpocz\u0119ciem przetwarzania konieczne b\u0119dzie zasi\u0119gni\u0119cie konsultacji organu nadzorczego. Je\u015bli za\u015b organ nadzorczy stwierdzi, \u017ce zamierzone przetwarzanie danych stanowi\u0142oby naruszenie Rozporz\u0105dzenia \u2013 w szczeg\u00f3lno\u015bci, gdy administrator niedostatecznie zidentyfikowa\u0142 lub zminimalizowa\u0142 ryzyko \u2013 to organ nadzorczy udzieli administratorowi pisemnych zalece\u0144 oraz b\u0119dzie m\u00f3g\u0142 skorzysta\u0107 z uprawnie\u0144 przys\u0142uguj\u0105cych mu na podstawie przepis\u00f3w Rozporz\u0105dzenia. Co do zasady, takie konsultacje b\u0119d\u0105 trwa\u0142y osiem tygodni. Termin ten mo\u017ce jednak ulec przed\u0142u\u017ceniu, ponadto bieg tego terminu mo\u017cna zawiesi\u0107 do czasu, a\u017c organ nadzorczy uzyska wszelkie informacje, kt\u00f3rych za\u017c\u0105da\u0142 dla cel\u00f3w konsultacji.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\n\t\t\t\n\t\t\t\t\t\t\u00a9 Miller, Canfield, W. Babicki, A. Che\u0142chowski i Wsp\u00f3lnicy Sp. k.<\/span>\n\t\t\t\n\t\t\t\t\t\t