Metodika obecného posouzení vlivu na ochranu osobních údajů

V rámci výkonu konzultačních agend a legislativy bylo v letech 2018 a 2019 shledáno, že jednotliví správci dostatečným způsobem a správně nevyužívají nové nástroje ochrany osobních údajů, které přineslo obecné nařízení (GDPR). Tápou hlavně v základním přístupu pro nastavení složitějších agend s osobními údaji, zejména u zpracování posouzení vlivu na ochranu osobních údajů (DPIA). Tato povinnost je dána v obecném nařízení ve dvojí formě jak soukromoprávním správcům, tak státu v rámci návrhu právních předpisů. 

Ve druhém (legislativním) případě se jedná o zásadní náležitost zpracování, protože podle § 10 zákona č. 110/2019 Sb., o zpracování osobních údajů, mají subjekty (orgány veřejné moci), pokud je jim zpracování osobních údajů uloženo zákonem, udělenu výjimku z povinnosti provést DPIA. 

Kvalitní a podrobná DPIA provedená v rámci návrhu právních předpisů je tak od okamžiku účinnosti nového zákona jediným a nezbytným návodem pro instruování správců a zpracovatelů, vodítkem pro poznání, jaké hrozby na osobní údaje působí, jaké jsou dopady do soukromí a jaká technická a organizační opatření mají při zpracováních uložených zákonem tyto subjekty přijmout.

V rámci připomínkových řízení k návrhu právních předpisů se ukázalo, že předkladatelé nemají v řadě případů příliš jasno, jak má takové posouzení vypadat. Často šlo pouze o slovní hodnocení bez konkrétních informací týkajících se popisu hrozeb, dopadů do soukromí a navrhovaných technických a organizačních opatření. Byť Úřad zveřejnil dokument Návod k posouzení vlivu na ochranu osobních údajů u návrhů právních předpisů (DPIA), vyvstala zjevná potřeba metodiky s příklady typů analýz, hrozeb a rizik.

Materiál je metodikou a jeho dodržování je doporučené. Pokud subjekt provádějící DPIA zvolí metodiku jinou, ale výsledná DPIA pokryje povinné požadavky dle obecného nařízení, potom je to přípustné. Bez znalosti takové metodiky je však úplnost a správnost DPIA obtížně hodnotitelná (typicky u návrhů právních předpisů).

Může zároveň podléhat dalším změnám v závislosti na zkušenostech získaných při praktickém uplatnění a také v závislosti na tom, zda se příslušné evropské orgány rozhodnou tento problém řešit jednotně v rámci Evropské unie. Úřad však zatím takový signál nemá.

Kompletní Metodiku obecného posouzení vlivu na ochranu osobních údajů naleznete zde.