Ocena Skutków dla Ochrony Danych DPIA dla Monitoringu
- Prawo
dane
- Kategoria
analiza
- Instrukcja
Na początku należy określić cel monitoringu, który będzie podlegał ocenie skutków dla ochrony danych i wpisać go w miejsce placeholdera [CEL]. Następnie należy opisać powód przeprowadzenia oceny skutków i umieścić ten opis w miejscu [OPIS]. W sekcji "Tło oceny ryzyka" należy uzupełnić dane administratora danych w polu [FIRMA] oraz dane kontaktowe inspektora ochrony danych (IOD) w polu [KONTAKT]. Kolejnym krokiem jest określenie kategorii danych, które będą przetwarzane w ramach monitoringu, zarówno głównych jak i pobocznych, wpisując je w odpowiednie pola [DANE]. Dla każdej kategorii danych należy określić, czy będą wykorzystywane szczególne kategorie danych, podać podstawę prawną przetwarzania oraz określić okres retencji. Następnie należy systematycznie opisać planowane operacje monitoringu, takie jak przechowywanie, przeglądanie, przetwarzanie danych, wykorzystanie biometrii, automatyczne podejmowanie decyzji, nagrywanie, i umieścić ten opis w wyznaczonym miejscu. Trzeba również opisać aktywa informatyczne obsługujące proces monitoringu. Należy opisać sposób usuwania danych, wskazać, kto w organizacji będzie miał dostęp do danych, kto będzie je usuwał i kto będzie decydował o określonym działaniu, które należy wpisać w miejsce [DZIAŁANIE]. W przypadku ujawniania danych poza organizację należy określić cel ujawnienia, rolę odbiorcy, czy będzie dochodziło do powierzenia danych, kto będzie decydował o ujawnieniu oraz formę ujawniania. Należy również wskazać, czy przetwarzanie jest objęte zatwierdzonym kodeksem w rozumieniu art. 40 RODO, czy skonsultowano planowane operacje z IOD i jaki był wynik konsultacji, oraz czy zasięgnięto opinii osób, których dane dotyczą. Należy określić obszar objęty czynnością, którą należy wpisać w miejsce [CZYNNOŚĆ], osoby objęte tą czynnością, ilość obiektów, które należy wpisać w miejsce [OBIEKTÓW], charakter czynności (ciągły czy nie) oraz czy dane będą nagrywane. W etapie oceny proporcjonalności i niezbędności należy odpowiedzieć na pytania dotyczące niezbędności przetwarzania, możliwości realizacji celów w inny sposób, realizacji obowiązków informacyjnych, realizacji praw wynikających z rozdziału III RODO oraz realizacji zasad ogólnych, takich jak poprawność danych, ograniczenie przechowywania, minimalizacja, ograniczenie celu i bezpieczeństwo. Należy również opisać pozostałe wymogi, np. dotyczące powierzenia danych. W etapie identyfikacji i oceny ryzyka należy zidentyfikować zagrożenia i ich negatywne konsekwencje, biorąc pod uwagę tło oceny ryzyka, wdrożone środki, typowe scenariusze zagrożeń oraz szczególne zagrożenia dotyczące celu i miejsca monitoringu. Należy uzupełnić wykaz przykładowych zagrożeń. Następnie należy ustalić konkretne zagrożenia, opisać realizowane operacje i obszar wymogów, w ramach którego identyfikowane są zagrożenia. Należy oszacować ryzyko, określając zagrożenie, negatywne konsekwencje, wagę i prawdopodobieństwo. W sekcji "Decyzja co do ryzyka" należy określić decyzję, środki w celu eliminacji lub redukcji ryzyka, ryzyko po wdrożeniu środków, decyzję co do wdrożenia środków oraz decyzję co do uprzednich konsultacji. W uwagach metodologicznych i terminologicznych należy uzupełnić założenia terminologiczne, wyjaśnienia terminów takich jak zagrożenie, ryzyko, waga ryzyka, prawdopodobieństwo ryzyka, szacowanie ryzyka i poziom ryzyka. Należy również określić poziom ryzyka według matrycy ryzyka i działania podejmowane w zależności od oszacowanego poziomu ryzyka, zgodnie z tabelą decyzji. Należy pamiętać o uzupełnieniu placeholderów [MIEJSCE], [INSTYTUCJA], [ORGANIZACJA], [RODZAJ], [CECHA], [NUMER] i [SYGNATURA].
- Dane
cecha, cel, czynność, dane, działanie, firma, instytucja, kontakt, matryca ryzyka, miejsce, numer, obiekty, opis, organizacja, rodzaj, sygnatura, tabela decyzji, wykaz zagrożeń
Dokument "Ocena Skutków dla Ochrony Danych DPIA dla Monitoringu" przedstawia proces oceny ryzyka oraz ochrony danych osobowych w kontekście monitoringu. Zawiera etapy takie jak tło oceny ryzyka, proporcjonalność i identyfikację zagrożeń. Dokument ten jest zgodny z wymogami RODO i ma na celu zapewnienie adekwatnej ochrony danych osobowych.
Nazwa: Ocena Skutków dla Ochrony Danych DPIA dla [CEL]
Założenie wstępne: ustalono potrzebę przeprowadzenia oceny skutków w ramach [OPIS].
Algorytm postępowania:
* Określenie tła oceny ryzyka, w tym systematyczny opis operacji i celów;
* Ocena proporcjonalności i niezbędności;
* Identyfikacja zagrożeń (w ramach poszczególnych operacji i w ramach realizacji poszczególnych wymogów);
* Ocena ryzyka (w tym szacowanie);
* Podjęcie decyzji co do ryzyka, w szczególności środków obniżających poziom ryzyka oraz decyzji co do uprzednich konsultacji.
Ocena skutków dla ochrony danych (DPIA) dla [CEL] [MIEJSCE]
W ROZUMIENIU ART. 35 ust. 7 RODO
ETAP I. TŁO OCENY RYZYKA
Dane administratora danych: [FIRMA]
Dane kontaktowe IOD: [KONTAKT]
Kategorie danych
Czy będą wykorzystywane Podstawa przetwarzania Okres przetwarzania danych (retencja)szczególne kategorie danych:
Główne:[DANE]
Poboczne:[DANE]
Zagadnienie Odpowiedzi
Systematyczny opis planowanych operacji: [OPIS]Np. monitorowanie, przechowywanie,przeglądanie, przetwarzanie danychprzy wykorzystaniu biometrii,automatyczne podejmowanie decyzji,nagrywanie
Aktywa informatyczne obsługujące proces [OPIS]
W jaki sposób dane będą usuwane? [OPIS]
Kto wewnątrz organizacji (jaka [OPIS]kategoria pracowników) będzie miałdostęp do danych i czy zakres dostępujest uzasadniony i niezbędny?
Kto wewnątrz organizacji (jaka [OPIS]kategoria pracowników) będzie usuwałfaktycznie dane?
Kto wewnątrz organizacji (jaka [OPIS]kategoria pracowników) będzie decydowało [DZIAŁANIE]?
Czy będzie dochodzić do ujawnienia [OPIS]danych poza organizację?Jeżeli tak:- jaki jest cel ujawnienia? (np.realizacja obowiązku wynikającego zprzepisów);- jaka jest rola odbiorcy? (np.niezależny administrator danych);- czy będzie dochodziło dopowierzenia danych?- kto wewnątrz organizacji będziedecydował o ujawnieniu;- w jakiej formie dochodzić będzie doujawniania (np. zdalny dostęp doserwera);
Czy przetwarzanie jest objęte [OPIS]zatwierdzonym kodeksem w rozumieniuart. 40 rodo?
Czy skonsultowano planowane operacje z [OPIS]IOD? Jaki był wynik konsultacji?
Czy administrator zasięgnął opinii osób, [OPIS]których dane dotyczą, lub ichprzedstawicieli w sprawie zamierzonegoprzetwarzania?
Obszar objęty [CZYNNOŚCIĄ] [OPIS]
Osoby objęte [CZYNNOŚCIĄ] [OPIS]
Ilość [OBIEKTÓW] [OPIS]
Czy [CZYNNOŚĆ] ma charakter ciągły (24h)? [OPIS]Jeżeli nie to jaki?
Czy dane z [CZYNNOŚCI] będą nagrywane? [OPIS]
ETAP II. OCENA PROPORCJONALNOŚCI I NIEZBĘDNOŚCI
Zagadnienie Odpowiedzi
Czy przetwarzanie jest niezbędne? [OPIS]
Czy nie można zrealizować celów [OPIS]przetwarzania w inny sposób?
Jak będą realizowane obowiązki [OPIS]informacyjne?
Jak będą realizowane inne prawa [OPIS]wynikające z rozdziału III rodo?
Jak będą realizowane zasady ogólne: [OPIS]Poprawność danychOgraniczenie przechowywania(np. procedura retencji)Minimalizacja (w zakresie dostępudo danych; obszaru; zakresu danych)Ograniczenie celu (m.in. kontrolazmiany celu)bezpieczeństwo
Pozostałe wymogi np. dotyczące [OPIS]powierzenia danych
ETAP III. IDENTYFIKACJA I OCENA RYZYKA (W TYM SZACOWANIE)
Założenia:
Identyfikacja zagrożeń (źródeł ryzyka) i ich negatywnych konsekwencji, następuje w oparciu o wiedzę:
* co do tła oceny ryzyka, w tym realizowanych operacji;
* co do wdrożonych (już) środków realizacji poszczególnych wymogów;
* o typowych scenariuszy zagrożeniach, które mogą ujawnić się w ramach poszczególnych operacji i mogą wpłynąć na realizację wymogów;
* o szczególnych zagrożeniach dotyczących [CEL] [MIEJSCE].
WYKAZ PRZYKŁADOWYCH ZAGROŻEŃ W POSZCZEGÓLNYCH OBSZARACH WYMOGÓW
[WYKAZ ZAGROŻEŃ]
W związku z powyższym ustalono następujące zagrożenia (źródła ryzyka).
Oznaczenie procesu [SYGNATURA]
Realizowane operacje [OPIS]
Obszar wymogów w ramach którego identyfikowane są zagrożenia (źródła ryzyka naruszenia praw lub wolności)Zasady ogólne: Zgodność z prawem / Rzetelność przejrzystość (w tym obowiązki informacyjne) / Ograniczenie celu / minimalizacja / prawidłowość / Ograniczenie przechowywania / bezpieczeństwo / Realizacja praw [NUMER] rodo / Ujawnienie danych / inne
Założenia dotyczące stanu faktycznego:
* Biorąc pod uwagę zidentyfikowane zagrożenia (źródła ryzyka naruszenia praw lub wolności);
* Oszacowano następujące ryzyka:
Szacowanie ryzykaZidentyfikowane ryzyko Szacowanie ryzyka Poziom ryzykaZagrożenie (źródło ryzyka) Negatywne konsekwencje dla praw lub wolności Waga Prawdopodobieństwo[OPIS] [OPIS] [OPIS] [OPIS]
Decyzja co do ryzykaZidentyfikowane ryzyko Decyzja Środki w celu eliminacji lub redukcji ryzyka Ryzyko po wdrożeniu środków Decyzja co do wdrożenia środków Decyzja co do uprzednich konsultacjiZagrożenie (źródło ryzyka) [OPIS] [OPIS] [OPIS] [OPIS] [OPIS]
Uwagi metodologiczne i terminologiczne
Założenia terminologiczne
Wyjaśnienia:
Zagrożenie (też jako źródło ryzyka naruszenia praw lub wolności) Źródło ryzyka naruszenia praw lub wolności związane z potencjalnym naruszeniem wymogów RODO.
Ryzyko (też jako "ryzyko naruszenia praw i wolności") Możliwość wystąpienia uszczerbku fizycznego lub szkód [RODZAJ] lub niemajątkowych. Źródłem ryzyka są zagrożenia.
Waga ryzyka naruszenia praw lub wolności Miara możliwego oddziaływania (wpływu) na prawa i wolności osób zaistniałego zagrożenia (źródła ryzyka) uwzględniająca [CECHA] zakres, kontekst i cele przetwarzania danych.
Prawdopodobieństwo ryzyka naruszenia praw lub wolności Możliwość wystąpienia zagrożenia (źródła ryzyka) prowadzącego do naruszenia praw lub wolności osób.
Szacowanie ryzyka Możliwość wystąpienia uszczerbku [RODZAJ] lub szkód [RODZAJ] lub niemajątkowych. Źródłem ryzyka są zagrożenia.
Poziom ryzyka (naruszenia praw lub wolności osób) Miara potencjalnego uszczerbku [RODZAJ] lub szkód [RODZAJ] lub niemajątkowych, będąca kombinacją wagi zagrożenia oraz prawdopodobieństwa.
Poziom ryzyka ocenia się według następującej matrycy (według zaleceń [INSTYTUCJA]):
[MATRYCA RYZYKA]
Decyzja co do ryzyka
W zależności od oszacowanego poziomu ryzyka [ORGANIZACJA] podejmuje następujące działania - według wskazówek [INSTYTUCJA]:
[TABELA DECYZJI]
Dokument "Ocena Skutków dla Ochrony Danych DPIA dla Monitoringu" to kompleksowe narzędzie służące do przeprowadzania oceny skutków dla ochrony danych w kontekście monitoringu. Zawiera szczegółowe kroki dotyczące oceny ryzyka, proporcjonalności oraz identyfikacji zagrożeń, aby zapewnić zgodność z obowiązującymi przepisami.