Wykonywanie analizy ryzyka oraz oceny skutków (DPIA)

W ramach procesu analizy ryzyka RODO ekspert wykonuje między innymi takie czynności jak:

• określenie kontekstu obszaru ryzyka,
• identyfikacja zasobów informacyjnych i ich klasyfikacji,
• określenie celów przetwarzania danych osobowych,
• identyfikacja zasobów informatycznych,
• ustalenie parametrów szacowania i oceny ryzyka,
• określenie obecnie stosowanych zabezpieczeń i ich skuteczności,
• oszacowanie ryzyka wiążącego się z procesem przetwarzania danych,
• dokonanie oceny wyników szacowania ryzyka,
• opracowanie planu postępowania z ryzykiem,
• opracowanie przyszłych (dodatkowych) zabezpieczeń,
• implementacja analizy ryzyka naruszenia RODO do funkcjonującego w organizacji procesu zarządzania ryzykiem.

W przypadku jeśli analiza ryzyka wykazała wysokie ryzyko naruszenia praw lub wolności osób, których dane są przetwarzane lub z analizy kontekstu obszaru ryzyka wynika, że przetwarzanie obejmuje rodzaje operacji przetwarzania wymienione w art. 35 ust 3  lit a)-c) RODO lub rodzaje operacji przetwarzania zawarte w wykazie rodzajów operacji przetwarzania wymagających przeprowadzenia oceny skutków dla ochrony danych z dnia 17 czerwca 2019 r.  opublikowanym przez Prezesa UODO w Monitorze Polskim z dnia 8 lipca 2019 r., wówczas proponowane jest przeprowadzenie oceny skutków dla ochrony danych.

Pomoc w przeprowadzeniu oceny skutków dla ochrony danych (DPIA)

Przeprowadzenie oceny skutków dla ochrony danych wymaga szczegółowej znajomości  wykonywanych czynności przetwarzania oraz wykorzystywanych ich realizacji systemów informatycznych, w tym stosowanych technologii, rodzaju stosownych środków transferu danych i metod ich zabezpieczania. Przeprowadzenie oceny skutków dla ochrony danych nie jest możliwe, jeśli w łańcuchu wykonywanych operacji przetwarzania występują jakieś niejasności, lub operacje przetwarzanie, które nie zostaną w szczegółach ujawnione zespołowi przeprowadzającemu przedmiotową ocenę skutków dla ochrony danych. 

W ramach procesu oceny skutków dla ochrony danych ekspert wykonuje między innymi takie czynności jak:

• systematyczny opis planowanych operacji przetwarzania i celów przetwarzania, w tym, gdy ma to zastosowanie – prawnie uzasadnionych interesów realizowanych przez administratora; 
• ocenę, czy operacje przetwarzania są niezbędne oraz proporcjonalne w stosunku do celów; 
• ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą, o którym mowa w ust. 1; oraz 
• środki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia oraz środki i mechanizmy bezpieczeństwa mające zapewnić ochronę danych osobowych i wykazać przestrzeganie niniejszego rozporządzenia, z uwzględnieniem praw i prawnie uzasadnionych interesów osób, których dane dotyczą, i innych osób, których sprawa dotyczy.

Przy przeprowadzaniu wyżej wymienionych czynności Ekspert współpracuje z administratorem, podmiotami przetwarzającymi, jeśli takie zaangażowane są w jakieś czynności przetwarzania w ramach analizowanych operacji przetwarzania oraz z dostawcami usług projektowych i/lub programowych, jeśli takie biorą udział w analizowanych operacjach przetwarzania.