Czym są dobre praktyki w ochronie danych osobowych

Administrator danych osobowych (ADO) samodzielnie będzie dokonywał oceny procesów przetwarzania danych osobowych pod kątem ryzyka. Jego zadaniem jest również wdrożenie środków organizacyjnych i technicznych, które mają służyć jego ograniczeniu.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO ogólne rozporządzenie o ochronie danych – dziś wchodzi w życie) na podstawie art. 35 wprowadza ocenę skutków planowanych operacji przetwarzania dla ochrony danych osobowych tzw. Data Privacy Impact Management (DPIA). Ma to zastąpić dotychczasowy obowiązek dokonywania zgłoszeń zbiorów danych osobowych do głównego inspektora ochrony danych osobowych. Administrator danych osobowych samodzielnie ma dokonywać oceny procesów przetwarzania danych osobowych pod kątem ryzyka. Jego zadaniem jest również wdrożenie środków organizacyjnych i technicznych służących jego ograniczeniu.

Ustawodawca unijny przepisy dotyczące DPIA sformułował w sposób niejednoznaczny. W RODO czytamy, że przeprowadzenie DPIA nie jest obowiązkowe dla każdej operacji przetwarzania danych. DPIA wymagane jest jedynie, gdy przetwarzanie jest „prawdopodobnym zagrożeniem dla praw i wolności osób fizycznych". W celu lepszego zrozumienia celu ustawodawcy unijnego, tzw. Grupa Robocza Artykułu 29 (GR29) sformułowała ogólne wytyczne przy przeprowadzaniu DPIA.

Od kiedy stosować DPIA

Głównym celem DPIA jest...