DPIA – ocena skutków dla ochrony danych
DPIA (data protection impact assessment), czyli ocena skutków dla ochrony danych, to wymagana przez art. 35 RODO udokumentowana analiza planowanego przetwarzania danych osobowych, którą administrator przeprowadza przed jego rozpoczęciem, gdy przetwarzanie może powodować wysokie ryzyko dla praw lub wolności osób. Ocena opisuje przetwarzanie, bada jego niezbędność, szacuje ryzyko i wskazuje środki zaradcze.
Kiedy DPIA jest obowiązkowa
Ocena skutków nie dotyczy każdego przetwarzania, tylko takiego, które z dużym prawdopodobieństwem może powodować wysokie ryzyko dla osób - zwłaszcza gdy w grę wchodzi nowa technologia. Art. 35 ust. 3 RODO wymienia trzy sytuacje, w których jest wymagana zawsze: systematyczna ocena osób oparta na zautomatyzowanym przetwarzaniu, w tym profilowaniu, która jest podstawą decyzji wywołujących skutki prawne lub w podobny sposób znacząco wpływających na osobę, przetwarzanie na dużą skalę danych szczególnych kategorii lub danych o wyrokach skazujących oraz systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie.
W Polsce listę uzupełnia wykaz ogłoszony w komunikacie Prezesa UODO z 17 czerwca 2019 r. (M.P. poz. 666). Zawiera 12 kryteriów, m.in. ocenę i profilowanie, zautomatyzowane decyzje, dane biometryczne i genetyczne, przetwarzanie na dużą skalę, łączenie danych z różnych źródeł, innowacyjne technologie i dane lokalizacyjne. Zasada: przetwarzanie spełniające co najmniej dwa kryteria co do zasady wymaga DPIA. Wśród przykładów UODO podaje ocenę zdolności kredytowej z użyciem algorytmów sztucznej inteligencji, monitorowanie poczty elektronicznej i internetu pracowników, biometryczną kontrolę wejść oraz systemy zgłaszania nieprawidłowości z danymi pracowników.
Co zawiera ocena skutków dla ochrony danych
Minimum określa art. 35 ust. 7 RODO:
- systematyczny opis planowanych operacji i celów przetwarzania, a gdy ma to zastosowanie - prawnie uzasadnionych interesów administratora,
- ocenę, czy przetwarzanie jest niezbędne i proporcjonalne do celów,
- ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą,
- środki zaradcze, czyli zabezpieczenia, które chronią dane i pozwalają wykazać zgodność z RODO.
Administrator konsultuje ocenę z inspektorem ochrony danych, jeśli go wyznaczył, a w stosownych przypadkach pyta o zdanie osoby, których dane dotyczą, lub ich przedstawicieli. Obowiązkowego wzoru nie ma. W kwietniu 2026 r. Europejska Rada Ochrony Danych przyjęła wzór DPIA i poddała go konsultacjom, zastrzegając, że korzystanie z niego nie jest obowiązkowe.
Jak przeprowadzić DPIA krok po kroku
- Wstępna analiza - sprawdzenie kryteriów z wykazu UODO. Decyzję, że DPIA nie jest potrzebna, też warto zapisać z uzasadnieniem.
- Opis przepływu danych - skąd dane przychodzą, w jakich systemach są przechowywane, kto ma dostęp, komu są przekazywane i kiedy są usuwane. Punktem wyjścia jest rejestr czynności przetwarzania.
- Ocena ryzyka - co może pójść źle z perspektywy osoby: nieuprawniony dostęp, niechciana zmiana danych, ich utrata, krzywdząca decyzja algorytmu.
- Środki i ryzyko szczątkowe - zabezpieczenia obniżające ryzyko i ocena tego, co zostaje.
- Przegląd - RODO wymaga go co najmniej wtedy, gdy zmienia się ryzyko, np. po dodaniu modułu albo zmianie dostawcy.
Jeśli mimo środków ryzyko pozostaje wysokie, administrator przed rozpoczęciem przetwarzania konsultuje się z Prezesem UODO (art. 36 RODO). Gdy organ uzna, że przetwarzanie naruszałoby przepisy, w ciągu ośmiu tygodni wydaje pisemne zalecenia - termin można przedłużyć o sześć tygodni.
DPIA przy wdrażaniu systemu - praktyka e-MSI
Nowy system obiegu dokumentów, OCR czy moduł AI to typowy moment na DPIA, bo zmienia się sposób przetwarzania i pojawia się nowa technologia. Najtaniej przeprowadzić ocenę na etapie analizy wymagań, gdy role, przepływy i okresy przechowywania można jeszcze zmienić.
Na platformie JobRouter®, którą wdraża e-MSI, procesy mogą być projektowane z uwzględnieniem zasad ochrony danych właśnie na etapie analizy wymagań. Dostęp wynika z ról i może być powiązany z Active Directory, każda operacja może trafić do dziennika z informacją, kto, kiedy i co zrobił. Komunikacja jest szyfrowana, a dane przechowywane w bazach i archiwach mogą być szyfrowane. Gdy dokumenty z danymi osobowymi trzeba opublikować lub przekazać dalej, anonimizacja dokumentów e-MSI pozwala przekazać wersję bez tych danych, a zakres zaczernienia zatwierdza człowiek. Każdy z tych mechanizmów to konkretna pozycja do części oceny o środkach zaradczych. Więcej na stronie bezpieczeństwo systemów.
Najczęstsze błędy przy ocenie skutków
- DPIA robiona po uruchomieniu systemu, a nie przed rozpoczęciem przetwarzania.
- Ocena ryzyka dla firmy - finansowego czy wizerunkowego - zamiast ryzyka dla osób, których dane dotyczą.
- Skopiowana analiza ryzyka bezpieczeństwa bez oceny niezbędności i proporcjonalności.
- Inspektor ochrony danych włączony na końcu, tylko do podpisu.
- Dokument, który nie zmienia się po dodaniu modułu, dostawcy lub źródła danych.
- Brak zapisu, dlaczego uznano, że DPIA nie jest potrzebna.
Przykłady zastosowania
Bank wdraża ocenę zdolności kredytowej opartą na algorytmie uczącym się. Profilowanie i zautomatyzowana decyzja to dwa kryteria z wykazu UODO, więc przed uruchomieniem przeprowadza DPIA.
Firma transportowa chce śledzić lokalizację aut służbowych w czasie rzeczywistym, także po godzinach pracy. Dane lokalizacyjne pracowników i systematyczne monitorowanie wymagają oceny skutków, a jej wynikiem jest wyłączanie śledzenia po zakończeniu zmiany.
Szpital skanuje i indeksuje archiwalną dokumentację medyczną w nowym repozytorium. Dane o zdrowiu przetwarzane na dużą skalę to przypadek z art. 35 ust. 3 lit. b RODO, więc DPIA powstaje przed migracją.
Spółka uruchamia kanał zgłoszeń nieprawidłowości dla pracowników. Wykaz UODO wprost wymienia takie systemy, więc inspektor ochrony danych opiniuje ocenę skutków jeszcze przed publikacją procedury.
Firma przenosi odczyt faktur i umów do usługi OCR w chmurze. Przygotowując DPIA, prosi dostawcę o opis zabezpieczeń i lokalizacji serwerów - jako podmiot przetwarzający ma on obowiązek pomóc w ocenie skutków.
Najczęstsze pytania
Co oznacza skrót DPIA?
DPIA to skrót od data protection impact assessment, czyli ocena skutków dla ochrony danych. To udokumentowana analiza planowanego przetwarzania danych osobowych, wymagana przez art. 35 RODO, gdy może ono powodować wysokie ryzyko dla osób. Administrator opisuje w niej przetwarzanie, sprawdza jego niezbędność, szacuje ryzyko i wskazuje zabezpieczenia, zanim zacznie przetwarzać dane.
Kiedy DPIA jest wymagana?
Gdy przetwarzanie może powodować wysokie ryzyko dla praw lub wolności osób. RODO wymaga jej zawsze przy zautomatyzowanej ocenie osób prowadzącej do decyzji o skutkach prawnych lub podobnie istotnych, danych szczególnych kategorii na dużą skalę i monitorowaniu miejsc publicznych na dużą skalę. W Polsce pomocniczo stosuje się wykaz UODO - spełnienie co najmniej dwóch kryteriów co do zasady oznacza obowiązek.
Czy monitoring wizyjny wymaga DPIA?
Nie zawsze. RODO wymaga DPIA przy systematycznym monitorowaniu na dużą skalę miejsc dostępnych publicznie, np. dworca czy ulic miasta. Przy mniejszym monitoringu trzeba sprawdzić kryteria z wykazu UODO - spełnienie co najmniej dwóch co do zasady oznacza obowiązek - i zapisać decyzję. Kamery rozpoznające twarze spełniają dodatkowo kryterium danych biometrycznych.
Czy istnieje wzór DPIA?
Nie ma wzoru obowiązkowego. RODO określa tylko minimalną treść: opis przetwarzania, ocenę niezbędności i proporcjonalności, ocenę ryzyka i środki zaradcze. W kwietniu 2026 r. Europejska Rada Ochrony Danych przyjęła wzór DPIA i skierowała go do konsultacji publicznych, zaznaczając, że organizacje nie muszą z niego korzystać.
Czym różni się DPIA od analizy ryzyka?
Analiza ryzyka z art. 32 RODO dotyczy każdego przetwarzania i służy dobraniu zabezpieczeń. DPIA jest obowiązkowa tylko przy wysokim ryzyku i idzie dalej: ocenia, czy przetwarzanie w ogóle jest niezbędne i proporcjonalne do celu, uwzględnia perspektywę osób, a przy wysokim ryzyku szczątkowym prowadzi do konsultacji z Prezesem UODO.
Jaka kara grozi za brak DPIA?
Naruszenie obowiązków z art. 35 i 36 RODO podlega administracyjnej karze pieniężnej do 10 mln euro, a w przypadku przedsiębiorstwa do 2% całkowitego rocznego światowego obrotu - obowiązuje kwota wyższa. Dla większości jednostek sektora finansów publicznych polska ustawa ogranicza karę do 100 000 zł. Prezes UODO może też nakazać dostosowanie przetwarzania do przepisów.
Powiązane hasła
Zobacz, jak wygląda to w systemach, które wdrażamy w polskich firmach.
