Ocena skutków dla ochrony danych — przygotowanie DPIA
Planujesz proces mogący znacząco wpływać na prywatność osób? Pomagamy ustalić, czy potrzebna jest DPIA, a następnie opracować ocenę skutków dla ochrony danych. Pracujemy z właścicielem procesu i specjalistami technicznymi. Analiza dotyczy praw i wolności osób, nie tylko ryzyka finansowego dla firmy.
W jakiej sytuacji możemy pomóc?
Dla osób i firm, których dotyczy opisany zakres. Przed przyjęciem sprawy ustalamy stronę zlecenia, cel i aktualny etap.
Nowa technologia
Projekt wprowadza monitorowanie, profilowanie lub inne intensywne wykorzystanie danych.
Dane szczególne
Organizacja planuje proces wymagający dokładnej oceny charakteru i skali przetwarzania.
Zmiana projektu
Istniejąca ocena nie obejmuje nowych funkcji, odbiorców lub zakresu danych.
Zakres pomocy i konkretny rezultat
Możesz zamówić wybrany etap albo ustalić szerszy zakres. Przed pracą potwierdzamy, jakie materiały przygotujemy.
Kwalifikacja obowiązku
Analizujemy charakter, skalę, kontekst i cele przetwarzania.
Uzasadnienie potrzeby DPIA.
Opis procesu
Porządkujemy przepływy danych, role, podstawy i niezbędność działań.
Model procesu do oceny.
Ryzyka i środki
Identyfikujemy możliwe skutki dla osób oraz środki ograniczające potwierdzone przez organizację.
Ocena wraz z planem redukcji ryzyka.
Decyzje i przegląd
Dokumentujemy pozostałe ryzyko, odpowiedzialnych i potrzebę dalszych konsultacji.
Materiał do decyzji administratora.
Granice zlecenia
Usługa nie obejmuje testów penetracyjnych, wdrożenia zabezpieczeń ani potwierdzenia braku ryzyka przez organ.
Kluczowe rozróżnienia w tej sprawie
Poniższe rozróżnienia pomagają określić właściwy zakres zlecenia. Rozwiązanie dobieramy do dokumentów, celu i faktycznego etapu sprawy.
| Obszar | Co ustalamy | Praktyczne znaczenie |
|---|---|---|
| Ocena obowiązku | Czy proces wymaga DPIA. | Powinna nastąpić przed wdrożeniem. |
| DPIA | Analiza skutków i środków ochrony. | Nie jest samym formularzem ryzyka IT. |
| Ryzyko rezydualne | Pozostaje po zastosowaniu środków. | Może wymagać dalszej oceny lub konsultacji. |
Co warto ustalić przed zleceniem?
Wynik zależy od rzeczywistego projektu
Nie przygotowujemy oceny na podstawie samej nazwy programu. Potrzebne są informacje o danych, skali, odbiorcach i możliwościach wpływu na osoby. Ocenę niezbędności łączymy z analizą wariantów mniej ingerujących. Jeśli projekt się zmienia, dokument powinien zostać ponownie przejrzany zamiast pozostawać jednorazowym załącznikiem.
DPIA nie jest certyfikatem legalności
Dokument pomaga administratorowi podjąć uzasadnioną decyzję, ale nie gwarantuje akceptacji organu. Jeżeli wysokiego ryzyka nie można wystarczająco ograniczyć, analizujemy potrzebę uprzednich konsultacji. Dobór i wdrożenie zabezpieczeń technicznych wymagają udziału odpowiednich specjalistów. Wskazujemy założenia, których nie udało się potwierdzić.
Jak wygląda współpraca
Najpierw cel i zakres. Następnie dokumenty, uzgodnione działania i wynik, z którego możesz skorzystać.
Cel i aktualny etap
Omawiamy oczekiwany rezultat, uczestników sprawy i najbliższe terminy. Potwierdzamy możliwość przyjęcia zlecenia oraz osobę odpowiedzialną za jego wykonanie.
Materiały i zakres
Ustalamy dokumenty potrzebne do analizy, sposób ich przekazania i ewentualne braki. Oferta określa konkretne opracowania oraz granice odpowiedzialności.
Analiza i opracowanie
Przygotowujemy uzgodniony materiał, wyjaśniamy istotne ryzyka i wskazujemy decyzje, których nie można podjąć bez informacji od klienta lub specjalisty.
Omówienie i dalsze kroki
Przekazujemy wynik wraz z wyjaśnieniami. Ustalamy, które czynności wykona klient, a które wymagają odrębnego zlecenia, zgody albo działania właściwego organu.
Zrozumiałe warunki przed startem
Wycena po ustaleniu zakresu
Wynagrodzenie ustalamy po określeniu zakresu i ocenie materiałów. W ofercie wskazujemy dokumenty lub działania objęte ceną, liczbę uzgodnień i sposób rozliczania dodatkowych prac. Opłaty urzędowe, sądowe, notarialne oraz koszty zewnętrznych specjalistów omawiamy osobno, jeżeli dotyczą sprawy. Termin naszej pracy potwierdzamy po otrzymaniu potrzebnych informacji; nie jest on gwarancją terminu decyzji urzędu, sądu lub kontrahenta.
Co wpływa na koszt?
- Liczba dokumentów i osób uczestniczących w sprawie.
- Etap postępowania oraz kompletność dostępnych dowodów.
- Przygotowanie dokumentu, negocjacje albo uzgodniona reprezentacja.
Co przygotować do rozmowy
Ta lista pomaga uporządkować materiały. Nie musisz mieć całego kompletu, aby zapytać o możliwość pomocy.
- Opis projektu i diagram przepływu danych.
- Kategorie danych, osób i odbiorców.
- Ocena technicznych środków bezpieczeństwa.
- Dokumentacja procesów, umowy i wcześniejsze analizy.
Na początek wystarczy opis
Dokumenty przekażesz po uzgodnieniu sposobu kontaktu. Nie wpisuj danych innych osób ani szczegółów wrażliwych w pierwszej wiadomości.
Osoba prowadząca i zasady pracy
Przed przyjęciem zlecenia ustalamy wykonawcę, formę kontaktu i zakres odpowiedzialności. Jeśli potrzebne jest działanie uprawnionego pełnomocnika, omawiamy jego udział oraz warunki osobno.
Zanim zdecydujesz.
Czy DPIA jest potrzebna w każdej firmie?
Nie dla każdego procesu. Kwalifikujemy obowiązek na podstawie jego charakteru i ryzyka.
Czy wystarczy analiza bezpieczeństwa IT?
Nie. DPIA obejmuje również prawa osób, niezbędność i proporcjonalność przetwarzania.
Czy dokument zastępuje decyzję administratora?
Nie. Administrator pozostaje odpowiedzialny za proces, wdrożenie środków i dalszy przegląd.
Czy obejmujecie konsultacje z UODO?
Można je uzgodnić osobno, jeżeli ocena wykaże taką potrzebę.
Czy można zlecić tylko analizę dokumentów?
Tak. Możesz ustalić samą ocenę materiałów albo szerszy zakres obejmujący przygotowanie dokumentów i dalsze działania. Oferta rozróżnia te etapy.
Co jeśli dokumentacja jest niepełna?
Na początek opisz cel oraz dostępne materiały. Wskażemy braki mające znaczenie dla oceny i to, czego bez nich nie można potwierdzić.
Zapytaj o zakres i wycenę.
Opisz projekt, rodzaj danych, skalę i to, czy przetwarzanie już uruchomiono. Nie przesyłaj haseł, numerów PESEL ani danych innych osób. Sposób przekazania dokumentów ustalimy po kontakcie.
Ustalimy, jakie informacje są potrzebne do oceny zakresu i wyceny. Samo zapytanie nie oznacza zawarcia umowy.
Jeśli masz termin sądowy lub urzędowy, podaj go już przy pierwszym kontakcie.
Przygotuj krótką wiadomość
Opisz projekt, rodzaj danych, skalę i to, czy przetwarzanie już uruchomiono. Nie przesyłaj haseł, numerów PESEL ani danych innych osób. Sposób przekazania dokumentów ustalimy po kontakcie.