Stan na 30 września 2026 r. DPIA, czyli ocena skutków dla ochrony danych, jest potrzebna przed rozpoczęciem przetwarzania, jeżeli jego charakter, zakres, kontekst i cele wskazują na prawdopodobnie wysokie ryzyko dla praw i wolności osób. Polski wykaz Prezesa UODO z 2019 r. pomaga rozpoznać takie operacje. Sama obecność nowej technologii lub pojedynczego kryterium nie daje jednak zawsze mechanicznej odpowiedzi; trzeba opisać konkretny projekt i jego ryzyka.
Art. 35 RODO nakłada obowiązek na administratora. UODO wyjaśnia go w poradniku z 31 marca 2025 r., który odsyła do polskiego wykazu z 17 czerwca 2019 r.. Ten tekst pokazuje, jak przeprowadzić kwalifikację, zbudować użyteczną ocenę i podjąć decyzję o uruchomieniu procesu. DPIA nie zastępuje podstawy prawnej, rejestru czynności ani zabezpieczeń, ale pozwala zobaczyć ich wpływ na konkretną osobę. Informacje o podstawach przetwarzania z art. 6 warto zebrać przed analizą ryzyka.
Kiedy próg wysokiego ryzyka zostaje osiągnięty
Punktem wyjścia jest pytanie, czy planowana operacja z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Art. 35 ust. 3 podaje przykłady: systematyczną i kompleksową ocenę osobowych czynników opartą na automatycznym przetwarzaniu, w tym profilowaniu, która służy decyzjom o skutkach prawnych lub podobnie istotnych; przetwarzanie na dużą skalę szczególnych kategorii danych albo danych o wyrokach; oraz systematyczne monitorowanie na dużą skalę miejsc publicznie dostępnych. To przykłady ustawowe, nie zamknięta lista. Nie ma też uniwersalnej liczby rekordów, przy której każda operacja staje się „dużą skalą”.
Polski wykaz UODO rozwija kryteria i podaje przykłady zastosowań. Obejmuje między innymi ocenę i profilowanie, istotne decyzje automatyczne, określone formy monitoringu, dane wrażliwe, biometrię identyfikacyjną, dane genetyczne, dużą skalę, łączenie źródeł, osoby w zależnej pozycji, innowacyjne rozwiązania, uniemożliwienie korzystania z prawa lub usługi oraz dane lokalizacyjne. UODO wskazuje, że co do zasady spełnienie co najmniej dwóch kryteriów przemawia za wykonaniem oceny. Jedno kryterium może jednak wystarczyć ze względu na charakter, kontekst lub cel. Również operacja niewpisana w przykłady może być wysokiego ryzyka. Dlatego prosta lista „dwa pola = tak, jedno = nie” jest niewystarczająca.
Przykład: niewielki sklep używa zwykłego systemu fakturowania. Nie ma powodu automatycznie uznawać go za operację wysokiego ryzyka tylko dlatego, że przetwarza dane klientów. Gdy ten sam sklep wdraża narzędzie, które łączy historię zakupów z danymi zewnętrznymi, ocenia podatność klientów i automatycznie różnicuje warunki usługi, pojawiają się inne skutki dla osób. W ocenie trzeba wtedy zbadać zakres danych, przewidywania, możliwość korekty, przejrzystość i skalę. Przykład nie przesądza o wyniku każdej konfiguracji; pokazuje, dlaczego potrzebny jest opis faktycznej operacji.
Dokumentuj także decyzję, że DPIA nie jest wymagana, jeśli projekt może budzić pytania. Krótkie uzasadnienie zakresu, kryteriów i powodów braku wysokiego ryzyka jest bardziej przydatne niż samo zaznaczenie „nie dotyczy”. Przy istotnej zmianie procesu kwalifikację trzeba powtórzyć. W rejestrze czynności przetwarzania warto zaznaczyć, które procesy miały taką analizę i gdzie znajduje się jej wynik.
Kto odpowiada za ocenę
Administratorem projektu DPIA jest administrator danych. Może on zebrać zespół z biznesu, IT, bezpieczeństwa, prawa i obszaru obsługującego osoby, których dane dotyczą. Każda z tych funkcji zna inną część procesu: po co dane są używane, gdzie przepływają, kto ma dostęp i jakie konsekwencje może mieć błąd. Inspektor ochrony danych udziela porady zgodnie z art. 35 ust. 2 i monitoruje wykonanie DPIA zgodnie z art. 39 ust. 1 lit. c. Nie staje się z tego powodu właścicielem decyzji biznesowej ani osobą, na którą administrator może przenieść odpowiedzialność.
Jeżeli istotną część operacji wykonuje procesor, poproś go o opis infrastruktury, zabezpieczeń, podwykonawców i sposobu działania usługi. Jego ogólna ocena produktu może być użyteczna, lecz nie zastępuje DPIA administratora dla konkretnego celu i kontekstu. Ten sam model analityczny może mieć inne skutki w programie lojalnościowym, rekrutacji i opiece zdrowotnej. UODO podkreśla właśnie tę różnicę między informacją dostawcy a obowiązkiem podmiotu wdrażającego narzędzie.
Art. 35 ust. 9 przewiduje zasięganie, w stosownych przypadkach, opinii osób, których dane dotyczą, lub ich przedstawicieli, z uwzględnieniem interesów handlowych, publicznych i bezpieczeństwa. Nie jest to obowiązek publikacji całej dokumentacji ani nie oznacza, że każda DPIA musi zawierać ankietę. Przy projekcie wpływającym na pracowników czy pacjentów taka perspektywa może jednak ujawnić skutki, których zespół techniczny nie widzi. Zapisz, czy i jak ją zebrano albo dlaczego nie było to odpowiednie.
Cztery części oceny z art. 35 ust. 7
Pierwsza część to systematyczny opis operacji i jej celów, w tym ewentualnego uzasadnionego interesu. Opisz źródła danych, kategorie osób, odbiorców, systemy, okresy przechowywania, transfery i role. Unikaj haseł „analiza danych klientów” albo „usprawnienie procesu”: nie pozwalają ocenić skutków. Przygotuj prosty diagram pokazujący, kiedy dane powstają, kto je widzi, gdzie są kopiowane i kiedy są usuwane. Powiązanie z art. 5 RODO i zasadą minimalizacji pomoże wykryć dane, które nie są potrzebne.
Druga część dotyczy niezbędności i proporcjonalności. Wyjaśnij, dlaczego wybrano tę metodę, czy mniej inwazyjna alternatywa mogłaby osiągnąć cel i jakie kontrole ograniczają nadmierne użycie. Sama zgoda lub inna podstawa z art. 6 nie czyni automatycznie wszystkich danych i metod proporcjonalnymi. Jeśli planujesz identyfikację biometryczną, porównaj ją z kartą dostępu lub innym sposobem. Jeśli planujesz lokalizację, zbadaj, czy wystarczy mniej dokładny pomiar albo krótszy okres przechowywania. Odpowiedź musi odnosić się do rzeczywistych potrzeb, nie do wygody dostawcy.
Trzecia część to ocena ryzyka dla praw i wolności osób. Nie ograniczaj jej do ryzyka finansowego administratora lub utraty dostępności systemu. Rozważ bezprawne ujawnienie, dyskryminację, błędną odmowę usługi, utratę kontroli nad danymi, trudność w zakwestionowaniu wyniku i efekt nadmiernego nadzoru. Dla każdego scenariusza określ źródło zagrożenia, osoby narażone, możliwe skutki, prawdopodobieństwo i wagę. Macierz punktowa może ułatwić porównanie, lecz art. 35 nie narzuca skali 5×5 ani liczby stron. Ważne jest wyjaśnienie przyjętych ocen.
Czwarta część zawiera planowane środki zaradcze, zabezpieczenia i mechanizmy wykazania zgodności. Powiąż środek z konkretnym scenariuszem: ograniczenie dostępu zmniejsza prawdopodobieństwo nieuprawnionego odczytu, możliwość odwołania od decyzji zmniejsza negatywne skutki błędnego wyniku, a krótsza retencja zmniejsza rozmiar szkody. Środki bezpieczeństwa z art. 32 są częścią obrazu, lecz nie rozwiązują automatycznie problemu nieproporcjonalnego celu. Wyznacz właściciela działania i sprawdź po wdrożeniu, czy środek działa.
Ryzyko początkowe i ryzyko po środkach
Odseparuj ocenę operacji przed zabezpieczeniami od ryzyka, które pozostaje po ich zastosowaniu. UODO zwraca uwagę na realne działanie mechanizmów. Obietnica, że przyszła aktualizacja zmniejszy ryzyko, nie jest równoważna wdrożonemu i sprawdzonemu zabezpieczeniu. Jeżeli produkt ma być uruchomiony etapami, rozważ ograniczenie pierwszego etapu do mniej ryzykownych danych lub funkcji. W ten sposób ocena może wpływać na projekt, a nie tylko dokumentować już podjętą decyzję.
W pewnych projektach ryzyko można obniżyć poprzez zmniejszenie zbioru danych, krótszą retencję, wyłączenie automatycznej decyzji albo dodanie realnej kontroli człowieka. Dla innych ograniczeń nie wystarczy. Zapisz ryzyko pozostające po środkach, jego przyczyny i warunki akceptacji. Sama akceptacja przez zarząd nie uchyla obowiązku konsultacji z organem, jeżeli nadal zachodzi próg określony w art. 36 RODO.
Kiedy trzeba skonsultować się z UODO
Art. 36 RODO przewiduje uprzednią konsultację z organem nadzorczym, gdy DPIA wskazuje, że przetwarzanie powodowałoby wysokie ryzyko przy braku środków wystarczających do jego zmniejszenia. W praktyce chodzi o wysokie ryzyko pozostające po planowanych zabezpieczeniach. Administrator powinien skonsultować zamierzone przetwarzanie z UODO przed jego rozpoczęciem. Nie jest to fakultatywna prośba o zatwierdzenie każdego projektu, który jedynie na początku oceniono jako ryzykowny. Jeżeli skuteczne środki obniżają ryzyko, udokumentuj to w DPIA.
Wniosek powinien przedstawiać odpowiedzialnych, cel, środki, ryzyka i samą ocenę. Art. 36 wyznacza terminy odpowiedzi organu i możliwość ich przedłużenia w złożonych przypadkach, ale nie warto planować uruchomienia procesu tak, jakby konsultacja zawsze trwała dokładnie osiem tygodni. UODO może potrzebować dodatkowych informacji. Jeżeli po analizie okaże się, że projekt wymaga radykalnych zmian, lepiej wprowadzić je przed przekazaniem danych do produkcji niż po skardze osoby, której dotyczy decyzja.
Monitoring, pracownicy i nowe technologie
Monitoring wizyjny może spełniać przesłanki DPIA, zwłaszcza przy systematycznym monitorowaniu na dużą skalę miejsc publicznie dostępnych lub dodatkowej analizie obrazu. Polski wykaz wyraźnie odróżnia taki scenariusz od systemu, który jedynie zapisuje obraz używany w razie analizy incydentu. Nie twierdź więc, że każda kamera w małym biurze automatycznie wymaga pełnej DPIA. Zbadaj skalę, sposób wykorzystania obrazu, identyfikację osób i dostępność alternatyw. Osobno trzeba przestrzegać szczególnych zasad prawa pracy, gdy monitorowani są pracownicy.
W relacji pracodawca–pracownik szczególnie ważna jest zależność osób, ich możliwość odmowy i konsekwencje błędnej oceny. Prosty rejestr wejść i system automatycznie analizujący tempo pracy, korespondencję oraz lokalizację mają odmienne skutki. UODO podaje jako przykład wymagający oceny system monitorowania czasu pracy i przepływu informacji w narzędziach używanych przez pracowników. Opisz, czy system generuje indywidualne oceny, kto może je wykorzystywać oraz jak pracownik może wyjaśnić błąd. Nie zakładaj, że konsultacja z reprezentacją pracowników w każdej formie jest identycznym, bezwarunkowym wymogiem dla każdego monitoringu.
Sztuczna inteligencja nie tworzy automatycznie dwóch dokumentów DPIA i FRIA dla każdej operacji. DPIA zależy od art. 35 i ryzyka w konkretnej operacji. Obowiązki oceny praw podstawowych na gruncie AI Act mają odrębne przesłanki dotyczące określonych systemów wysokiego ryzyka i podmiotów je stosujących. Jeśli oba reżimy mają zastosowanie, można ponownie wykorzystać opisy i analizy, zachowując ich odrębne cele. Nasz przewodnik po AI Act i artykuł o systemach AI wysokiego ryzyka pomagają wstępnie zmapować tę granicę. UODO podaje przykłady użyć AI, które z dużym prawdopodobieństwem wymagają DPIA, ale nie ustanawia reguły dla każdego modelu.
Przy kwalifikacji AI przydaje się rozdzielenie fazy trenowania, testowania i użycia operacyjnego. Ten sam dostawca może pracować na innych kategoriach danych i dla innych celów w każdej fazie. Administrator wdrażający system powinien zatem ustalić, czy otrzymuje gotowy model, czy udostępnia dane do dalszego uczenia, czy przewidywania są zachowywane oraz czy człowiek może skutecznie poprawić wynik. Opis „narzędzie AI” nie pozwala ocenić ani niezbędności, ani ryzyka. Rozważ też osoby, których dane trafiły do zbioru testowego, nawet jeśli nie będą końcowymi użytkownikami usługi. UODO wskazuje, że model uczony na danych osobowych nie staje się automatycznie anonimowy po zakończeniu treningu. Odpowiedzi na te pytania wpływają na zakres DPIA i na dobór środków, zanim system zostanie uruchomiony dla realnych osób.
Aktualizacja i dowód podjętej decyzji
Ocena sporządzona przed uruchomieniem powinna wrócić na stół, kiedy zmieni się źródło danych, grupa osób, odbiorca, technologia, logika decyzji, skala lub sposób zabezpieczenia. Art. 35 ust. 11 wymaga przeglądu zgodności przetwarzania z DPIA, co najmniej gdy zmieni się ryzyko. Stały termin wewnętrznego przeglądu może pomóc, ale nie ma ogólnej ustawowej zasady „raz w roku”. Opisz zdarzenia, które uruchamiają ponowną ocenę, oraz właściciela tej decyzji.
W praktyce zachowaj wersję opisu operacji, listę ryzyk, konsultacje z IOD, opinie osób tam, gdzie były właściwe, środki i decyzję o rozpoczęciu. Dokument powinien pozwolić innej osobie prześledzić, dlaczego określone ryzyko uznano za akceptowalne. Nie musi mieć 30 stron ani określonego szablonu. Jeśli używasz arkusza lub aplikacji, liczy się jakość opisu i możliwość powrotu do założeń. W szerszym przewodniku zgodności RODO wyjaśniamy, jak osadzić taką ocenę w zmianach organizacyjnych.
Publikacja pełnej DPIA nie jest ogólnym wymogiem art. 35. Organizacja może rozważyć publiczne streszczenie, ale powinna chronić szczegóły bezpieczeństwa i interesy osób. Dla podmiotu publicznego dostęp do dokumentów może zależeć od innych przepisów i ograniczeń; nie należy obiecywać ani automatycznego utajnienia, ani bezwarunkowej publikacji. Podobnie kwoty konsultantów lub sztywna liczba godzin nie wynikają z RODO. Zakres pracy zależy od złożoności operacji i dojrzałości dokumentacji.
Przykład decyzji dla nowego systemu
Szpital planuje narzędzie do analizy obrazów diagnostycznych. Dane o zdrowiu, możliwa duża skala i innowacyjna metoda są silnymi sygnałami wysokiego ryzyka. Zespół opisuje, czy obrazy opuszczają środowisko szpitala, czy dostawca je przechowuje, czy system jedynie sugeruje wynik, a także jak lekarz weryfikuje jego trafność. Sprawdza potrzebną podstawę przetwarzania, umowę z procesorem i kontrolę dostępu. Następnie analizuje ryzyko błędnej sugestii, nieuprawnionego dostępu, utraty danych i trudności pacjenta w zrozumieniu roli systemu. Każde ryzyko łączy z konkretnym zabezpieczeniem.
Po testach zespół ocenia ryzyko pozostające. Jeśli nadal jest wysokie i nie można go dostatecznie zmniejszyć, administrator rozpoczyna konsultację z UODO przed użyciem produkcyjnym. Jeżeli rozwiązanie zostanie ograniczone do innej grupy pacjentów lub otrzyma nową funkcję, potrzebny jest powrót do oceny. Ten przykład nie przesądza o każdej aplikacji medycznej; pokazuje pełną ścieżkę od kwalifikacji po decyzję. Analogiczny sposób myślenia przyda się przy systemach profilowania, geolokalizacji czy nadzoru nad pracą.
Częste pytania
Czy firma z kilkoma pracownikami może potrzebować DPIA?
Tak. Art. 35 nie zwalnia ze względu na liczbę pracowników. Decyduje charakter konkretnego przetwarzania i prawdopodobnie wysokie ryzyko dla osób. Niewielka organizacja używająca identyfikacji biometrycznej może wymagać głębszej analizy niż duża firma prowadząca proste czynności administracyjne.
Czy spełnienie dwóch kryteriów UODO zawsze oznacza DPIA?
UODO wskazuje je jako regułę „co do zasady”, nie mechaniczną formułę. Jedno kryterium też może wystarczyć, a lista nie jest wyczerpująca. Zapisz ocenę rzeczywistej operacji i przyczyny decyzji.
Czy IOD może podpisać ocenę zamiast administratora?
IOD może doradzać i monitorować przebieg, lecz odpowiedzialność za wykonanie i decyzje pozostaje przy administratorze. Dostawca technologii także może dostarczyć użytecznych informacji, nie zastępując oceny użytkownika jego produktu.
Czy każda DPIA wymaga uprzedniej konsultacji?
Nie. Art. 36 dotyczy sytuacji, gdy po przewidzianych środkach nadal pozostaje wysokie ryzyko, którego nie udało się dostatecznie ograniczyć. W takim wypadku konsultacja przed przetwarzaniem jest obowiązkowa. Sam fakt sporządzenia DPIA nie oznacza konieczności wysyłania jej do UODO.
Czy brak DPIA można naprawić przez wpisanie wcześniejszej daty?
Nie. Nie należy antydatować dokumentu. Jeżeli obowiązek został przeoczony, oceń aktualne ryzyka, ogranicz narażenie osób, przeprowadź ocenę z rzeczywistą datą i podejmij właściwe środki. Jeżeli po zastosowaniu środków nadal pozostaje wysokie ryzyko, administrator musi skonsultować z UODO dalsze planowane przetwarzanie przed jego rozpoczęciem. Historycznego zaniedbania nie usuwa fikcyjna data.
Odrębne postępowania i ich kwoty analizujemy w zestawieniu decyzji UODO; żaden pojedynczy przykład kary nie zastępuje progu z art. 35 ani oceny konkretnej operacji.