Ocena skutków dla ochrony danych

Ocena skutków dla ochrony danych

Informacje podstawowe

Data sporządzenia                             2023-10-26

Osoba sporządzająca                          Jan Kowalski

ETAP I: Ocena wstępna, czy ocena skutków dla ochrony danych jest konieczna

Ogólny opis zamierzonego przetwarzania

Instrukcja:

Proszę opisać:

• proces biznesowy, w ramach którego będzie miało miejsce planowane przetwarzanie danych (opis

   funkcjonalny przetwarzania),

• jakie są cele zamierzonego przetwarzania,

• jakie prawnie uzasadnione interesy są realizowane przez administratora, w przypadku gdy są one podstawą

   przetwarzania (art. 6 ust. 1 lit. f RODO).

Zalecane jest załączenie odpowiedniej dokumentacji, np. biznesowego opisu projektu.

Odpowiedź administratora:

Przetwarzanie danych osobowych klientów w celu realizacji zamówień w sklepie internetowym. Celem jest sprawna obsługa zamówień, a prawnie uzasadnionym interesem administratora jest prowadzenie działalności gospodarczej.

Kontekst przetwarzania

Instrukcja:

Proszę opisać:

• jaka relacja łączy administratora z osobami, których dane będą przetwarzane,

• czy osoby te będą miały kontrolę nad planowaną operacją przetwarzania,

• czy osoby te mogą spodziewać się, że ich dane zostaną wykorzystane w planowany sposób,

• czy osoby te należą do wrażliwych grup społecznych, takich jak: dzieci, osoby starsze, osoby

   niepełnosprawne, osoby bezrobotne, pracownicy itp.,

• czy planowane przetwarzanie jest nowe/innowacyjne,

• jaki jest stan wiedzy technicznej w obszarze planowanego przetwarzania,

• czy istnieją uprzednie obawy związane z tego rodzaju przetwarzaniem lub zapewnieniem jego

   bezpieczeństwa,

• czy istnieją obawy lub wątpliwości społeczne, polityczne itp. wiążące się z zamierzonym przetwarzaniem,

• czy administrator stosuje zatwierdzony kodeks postępowania lub zatwierdzony mechanizm certyfikacji; jeśli

   tak – czy planowane przetwarzanie jest z nim zgodne.

Odpowiedź administratora:

Relacja klient-sprzedawca. Klienci mają kontrolę nad swoimi danymi poprzez panel klienta. Przetwarzanie jest typowe dla sklepów internetowych. Nie dotyczy grup wrażliwych. Technologia standardowa. Brak uprzednich obaw. Brak obaw społecznych. Administrator stosuje ogólne zasady RODO.

Cel przetwarzania

Instrukcja:

Proszę opisać:

• co chce osiągnąć administrator poprzez planowane przetwarzanie,

• jaki jest zamierzony skutek przetwarzania,

• jakie są korzyści przetwarzania dla administratora i ogółu.

Odpowiedź administratora:

Realizacja zamówień, sprawniejsza obsługa klienta. Korzyści: szybsze zakupy dla klientów, większa sprzedaż dla administratora.

KONKLUZJA: Przeprowadzenie oceny skutków dla ochrony nie jest wymagane.

ETAP II: Opis zamierzonego przetwarzania

Charakter przetwarzania

Instrukcja:

Proszę opisać:

• w jaki sposób dane będą zbierane, wykorzystywane, przechowywane oraz usuwane,

• w jakich zasobach administratora przetwarzane będą dane [sprzęt komputerowy, oprogramowanie

   (software), zbiory w formie papierowej],

• kto będzie miał dostęp do danych w ramach struktury przedsiębiorstwa administratora (proszę wskazać

   stanowiska),

• jakie jest źródło danych,

• czy dane będą udostępniane osobom trzecim, w tym powierzane podmiotom przetwarzającym,

• w jaki sposób planowane przetwarzanie wiąże się z prawdopodobieństwem wystąpienia wysokiego ryzyka.

Pomocne może być przedstawienie przepływów danych w ramach planowanego przetwarzania za pomocą

diagramów lub grafów.

Odpowiedź administratora:

Dane zbierane są poprzez formularz zamówienia. Wykorzystywane do realizacji zamówienia. Przechowywane na serwerze firmy. Usuwane na żądanie klienta. Dostęp mają pracownicy działu obsługi klienta i działu logistyki. Źródło: klient. Dane udostępniane firmie kurierskiej. Niskie prawdopodobieństwo wysokiego ryzyka.

Zakres przetwarzania

Instrukcja:

Proszę opisać:

• jaki jest rodzaj danych, w szczególności czy obejmują one dane szczególnych kategorii (tj. danych

   ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub

   światopoglądowe, przynależność do związków zawodowych, danych genetycznych, biometrycznych, danych

   dotyczących zdrowia, seksualności lub orientacji seksualnej) lub dane dotyczące wyroków skazujących i

   naruszeń prawa,

• jaka ilość danych będzie gromadzona i wykorzystywana,

• z jaką częstotliwością dane będą przetwarzane,

• jak długo dane będą przechowywane,

• ilu osób dotyczyć będzie przetwarzanie / na ile osób będzie miało wpływ,

• jakiego obszaru geograficznego będzie dotyczyć przetwarzanie.

Odpowiedź administratora:

Dane osobowe: imię, nazwisko, adres, email, telefon. Ilość danych standardowa dla zamówień. Częstotliwość zależna od zamówień. Przechowywane do czasu żądania usunięcia. Dotyczy klientów sklepu. Obszar: Polska.

ETAP III: Opinie wewnętrzne i zewnętrzne

Opinie wewnętrzne

Instrukcja:

Proszę opisać:

• jakie osoby/działy/departamenty w ramach przedsiębiorstwa administratora biorą udział w ocenie skutków

   dla ochrony danych,

• czy zamierzone przetwarzanie zostało skonsultowane z inspektorem ochrony danych (jeśli został

   wyznaczony) i jaki był wynik tych konsultacji.

Odpowiedź administratora:

Dział obsługi klienta, dział IT. Nie wyznaczono IOD.

Opinie podmiotów trzecich

Instrukcja:

Proszę opisać:

• czy administrator zasięgnie opinii osób, których dotyczą dane, lub ich przedstawicieli; jeśli tak – proszę

   opisać, kiedy i w jaki sposób, jeśli nie – proszę wskazać uzasadnienie braku zasięgnięcia takiej opinii,

• czy administrator zasięgnie opinii ekspertów, np. prawników, specjalistów IT, socjologów itp.; jeśli tak –

   proszę opisać, kiedy i w jaki sposób, jeśli nie – proszę wskazać uzasadnienie braku zasięgnięcia takiej

   opinii,

• czy administrator będzie potrzebował udziału podmiotu przetwarzającego w ocenie skutków dla ochrony

   danych (jeśli dane będą powierzane do przetwarzania).

Odpowiedź administratora:

Nie zasięgano opinii klientów, proces jest standardowy. Nie zasięgano opinii ekspertów, proces jest standardowy. Firma kurierska jako podmiot przetwarzający została poinformowana o obowiązkach wynikających z RODO.

ETAP IV: Ocena niezbędności i proporcjonalności

Zgodność z zasadą niezbędności i proporcjonalności

Instrukcja:

Proszę opisać:

• jaka jest podstawa prawna zamierzonego przetwarzania danych,

• czy przetwarzanie posłuży do osiągnięcia zamierzonego celu,

• czy istnieje inny sposób na osiągnięcie tego samego celu (mniej ingerujący w prywatność),

• jak administrator zamierza zapobiec rozszerzeniu przetwarzania ponad planowane,

• w jaki sposób administrator zapewni jakość (adekwatność) danych oraz to, że przetwarzane będą wyłącznie

   dane niezbędne do osiągnięcia celu przetwarzania (zasada minimalizacji),

• w jaki sposób administrator zapewni, że dane będą przetwarzane wyłącznie przez okres niezbędny do

   osiągnięcia celu przetwarzania,

• jakie informacje o planowanym przetwarzaniu zostaną przekazane osobom fizycznym,

• w jaki sposób administrator zapewni, że będą realizowane prawa osób, których dotyczyć będzie

   przetwarzanie,

• w jaki sposób administrator zapewni, że podmiot przetwarzający będzie przetwarzał powierzone dane

   zgodnie z przepisami RODO,

• czy dane będą przekazywane poza Europejski Obszar Gospodarczy; jeśli tak – w jaki sposób dane zostaną

   zabezpieczone.

Odpowiedź administratora:

Podstawa prawna: art 6.1.b RODO. Przetwarzanie służy realizacji zamówienia. Brak mniej ingerującego sposobu. Rozszerzenie przetwarzania jest zapobiegane przez procedury wewnętrzne. Zasada minimalizacji jest realizowana przez zbieranie tylko niezbędnych danych. Dane są przechowywane tylko przez okres niezbędny. Informacje o przetwarzaniu są zawarte w polityce prywatności. Prawa osób są realizowane zgodnie z RODO. Firma kurierska zobowiązała się do przestrzegania RODO. Dane nie są przekazywane poza EOG.

ETAP V: Identyfikacja i ocena ryzyka

Opis źródła ryzyka i jego     Prawdopodobieństwo    Dotkliwość dla osób      Ogólny poziom ryzyka

potencjalnego wpływu na       wystąpienia ryzyka         fizycznych (waga ryzyka)

osoby, których dane będą

przetwarzane

Instrukcja:               Instrukcja:               Instrukcja:              Instrukcja:

Proszę opisać:           Proszę ocenić, czy        Proszę ocenić, czy jest     Proszę ocenić, czy jest

• źródła ryzyka (np.        prawdopodobieństwo       niewielka, duża czy bardzo   niski, średni czy wysoki.

  nieuprawniony dostęp   wystąpienia ryzyka jest    duża.                 Rekomendowane jest

  do danych,            niskie, średnie czy      Rekomendowane jest       ustalenie ogólnego

  nieuprawniona        wysokie.               przypisanie wartości     poziomu ryzyka w oparciu

  modyfikacja danych,    Rekomendowane jest     numerycznej na skali od 1    o wartość numeryczną,

  utrata danych),         przypisanie wartości   do 3, gdzie 1 oznacza    stanowiącą iloczyn

• przyczyny ryzyka (jakie  numerycznej na skali od 1   niewielką dotkliwość, a 3   wartości przypisanej dla

  są zagrożenia mogące   do 3, gdzie 1 oznacza    oznacza bardzo dużą    prawdopodobieństwa

  prowadzić do          niskie                   dotkliwość.              wystąpienia ryzyka oraz

  zmaterializowania się  prawdopodobieństwo, a 3                          wartości przypisanej do

  ryzyka),             oznacza, że wystąpienie              jego dotkliwości w oparciu

• jaki jest możliwy wpływ    ryzyka jest wysoce

Odpowiedź administratora:

Wyciek danych, atak hakerski. Prawdopodobieństwo niskie (1). Dotkliwość duża (2). Ryzyko średnie (2).