Vysvetlenie pojmov a vzťahu medzi testom proporcionality a posúdením vplyvu (DPIA)

Test proporcionality

Test proporcionality predstavuje dokument, na základe ktorého prevádzkovateľ vyhodnocuje, či sú splnené podmienky na to, aby bolo možné spracúvať osobné údaje na základe tzv. oprávneného záujmu [čl. 6 ods. 1 písm. f)] všeobecného nariadenia o ochrane údajov. Oprávnený záujem využívajú prevádzkovatelia najčastejšie pri kamerovom informačnom systéme, ako aj pri zasielaní newsletterov zákazníkom.

Test proporcionality musí uskutočniť prevádzkovateľ, ktorý plánuje spracúvať osobné údaje dotknutých osôb na základe oprávneného záujmu. Prevádzkovateľ môže tento test proporcionality vykonať sám, avšak ak má určenú zodpovednú osobu, mal by vypracovanie testu proporcionality riešiť v úzkej súčinnosti s ňou.

 Test proporcionality by mal obsahovať:

• Relevantnú právnu úpravu – t.j. opis právnych predpisov, ktoré zakladajú prevádzkovateľovi právo vykonávať určitú činnosť (napr. chrániť majetok).
• Existenciu oprávneného záujmu – t.j. opis, či reálne existuje oprávnený záujem prevádzkovateľa, ako je daný a čím je podporovaný.
• Nevyhnutnosť spracúvania – t.j. opis reálnych alternatív dosiahnutia účelu spracovaním osobných údajov v menšom rozsahu alebo bez ich spracovania, resp. potvrdenie stavu, že účel nie je možné dosiahnuť inak ako spracúvaním údajov na základe oprávneného záujmu.
• Proporcionalita – v tejto časti je potrebné opísať povahu oprávneného záujmu, potencionálnu ujmu prevádzkovateľa pri nespracúvaní osobných údajov, povahu predmetných osobných údajov, vzťah prevádzkovateľa a dotknutej osoby, opis samotného spracúvania, dotknuté práva a záujmy, primerané očakávania a na záver vplyv spracúvania na dotknutú osobu a prínosy pre prevádzkovateľa.

Záver – v závere testu proporcionality je potrebné vyhodnotiť všetky informácie, a to vo vzájomnej súvislosti. Výsledok testu by mal jednoznačne potvrdiť, či oprávnené záujmy prevádzkovateľa prevažujú alebo neprevažujú nad právami a slobodami dotknutých osôb.

Ak by z výsledku testu proporcionality vyplynulo, že záujmy prevádzkovateľa neprevažujú nad právami dotknutých osôb, tak prevádzkovateľ nemôže osobné údaje týmto spôsobom spracúvať. Ak by prevádzkovateľ napriek negatívnemu výsledku testu proporcionality spracúval osobné údaje, dopustil by sa porušenia všeobecného nariadenia o ochrane údajov.

Posúdenie vplyvu (Data Protection Impact Assessment – DPIA)

Posúdenie vplyvu (Data Protection Impact Assessment) predstavuje dokument, ktorý sa vyžaduje vždy, keď je pravdepodobné, že spracúvanie osobných údajov spôsobí (alebo môže spôsobiť) veľké riziko pre práva a slobody dotknutých osôb. Posúdenie vplyvu predstavuje hodnotenie vplyvu plánovaných operácií spracovania údajov na ochranu osobných údajov fyzických osôb a najmä hodnotenie pravdepodobnosti a závažnosti rizík pre práva a slobody dotknutých osôb vyplývajúce zo spracovateľských operácií v prostredí prevádzkovateľa.

Vypracovanie posúdenia vplyvu teda nie je závislé od použitého právneho základu ako v prípade testu proporcionality. Posúdenie vplyvu sa vyžaduje najmä, ak:

• Dochádza k spracúvaniu osobitných kategórií osobných údajov, biometrických údajov alebo údajov o uznaní viny za trestné činy a priestupky.
• Dochádza k spracovateľským operáciám veľkého rozsahu, ktorých cieľom je spracúvať značný objem osobných údajov na regionálnej, vnútroštátnej alebo nadnárodnej úrovni.
• Dochádza k systematickému hodnoteniu aspektov týkajúcich sa fyzickej osoby, vrátane profilovania.
• Dochádza k monitorovaniu verejne prístupných miest vo veľkom rozsahu.

Posúdenie vplyvu je potrebné vykonať pred spracovaním údajov, pričom je potrebné naň neustále prihliadať a aktualizovať ho. Dozorný orgán v každej členskej krajine vypracuje a zverejní zoznam tých spracovateľských operácií, ktoré podliehajú požiadavke na posúdenie vplyvu na ochranu údajov.

V zmysle čl. 35 všeobecného nariadenia o ochrane údajov je prevádzkovateľ povinný uskutočniť s dozorným orgánom pred spracúvaním konzultácie, ak z posúdenia vplyvu na ochranu údajov vyplýva, že toto spracúvanie by viedlo k vysokému riziku v prípade, ak by prevádzkovateľ neprijal opatrenia na zmiernenie tohto rizika.

Poznámka redakcie:

§ 1 vyhlášky č. 158/2018 Z. z.

§ 42 ods. 1 a 3 zákona č. 18/2018 Z. z.

Autor: JUDr. Jakub Pavčík