Proč je důležitá DPIA, aneb poučení z případu International Card Services B.V

Společnost International Card Services B.V. (ICS) dostala od nizozemské úřadu pro ochranu dat pokutu 150.000 EUR za porušení obecného nařízení o ochraně osobních údajů (GDPR). Klíčovým pochybením bylo, že společnost neprovedla posouzení vlivu na ochranu osobních údajů (DPIA) a dostatečně nezajistila ochranu osobních údajů při zavádění nového procesu pro identifikaci a kontrolu zákazníků.

Tento případ opět poukazuje na význam systematických opatření pro ochranu dat a nabízí cenné lekce pro podniky, které se snaží pohybovat v komplexním prostředí souladu s GDPR.

Pokuta za porušení čl. 35 GDPR

Nizozemská společnost ICS je významným hráčem ve finančním sektoru, který vydává vlastní kreditní karty a zajišťuje další služby na finančním trhu ve spolupráci s obchodníky, bankami a zájmovými skupinami. Na začátku roku 2024 byla potrestána za to, že neprovedla dostatečné hodnocení dopadu na ochranu údajů (DPIA) pro jí prováděná riziková zpracování osobních dat. GDPR zdůrazňuje význam DPIA, zejména pokud zpracovatelské činnosti představují vysoké riziko pro soukromí jednotlivců.

Proč je důležité hodnotit dopady zpracování na soukromí?

DPIA slouží k posouzení a minimalizaci rizik, jež může způsobit zpracování osobních údajů pro jednotlivce. 

Jak konkrétně DPIA pomůže zajistit ochranu práv dotčených osob?

• Identifikace rizik: V rámci DPIA správce identifikuje a hodnotí rizika spojená se zpracováním osobních údajů. To zahrnuje možná porušení zabezpečení, nedostatečnou ochrany soukromí, riziko diskriminace, zveřejnění důvěrných údajů a další aspekty, které by mohly negativně ovlivnit jednotlivce.

• Preventivní opatření: Na základě zjištěných rizik lze v rámci DPIA navrhnout a implementovat preventivní opatření. To zahrnuje technická, organizační a právní opatření, která mají za cíl minimalizovat nežádoucí dopady na subjekty údajů.

• Zajištění souladu s předpisy: Provedení DPIA je pro rizikovější zpracování přímo vyžadováno GDPR, jeho provedení přispěje k souladu i s mnoha dalšími právními předpisy v oblasti ochrany osobních údajů. Nedodržení této povinnosti může vést k sankcím, včetně udělení pokut.

• Transparentnost: DPIA přispívá k transparentnosti zpracování vůči dotčeným osobám. Na základě DPIA je možné nastavit vhodný způsob, jak poskytnout subjektu údajů informace o zpracování údajů a souvisejících rizicích.

• Důkazní materiál pro dozorové orgány: Dokumentovaná a aktualizovaná DPIA slouží jako důkazní materiál pro dozorové orgány, který pomáhá organizacím prokázat, že přistupují k ochraně osobních údajů vážně.

Povinnost provést posouzení dopadů (DPIA)

DPIA je potřebné provést vždy, když připravované zpracování osobních údajů zahrnuje:

• Profilování dotčených osob.

• Automatizované zpracování osobních údajů, jehož výstupem je rozhodnutí s právním účinkem na dotčenou osobu, např. posuzování bonity registry bankovních či nebankovních klientů, AML systémy ve finančním sektoru, systémy na omezení přístupu k hazardu apod.

• Zpracování tzv. citlivých osobních údajů (např. rasa, zdravotní údaje, biometrické údaje, náboženské vyznání, členství v odborech, rodné číslo apod.) ve velkém rozsahu – přičemž není explicitně jasné, co se tím rozumí. Existují pouze určité výkladové pomůcky pro stanovení velkého rozsahu (např. počet dotčených osob v poměru k relevantní populaci, rozsah celkových údajů zahrnutých do zpracování, trvání zpracování, geografický rozsah aktivit).

• Systematické monitorování veřejně přístupných míst ve velkém rozsahu, typicky využívání kamerových systémů v nákupních centrech, RFID čipové náramky v zábavních parcích a velkých rezortech, IMSI catchery nebo WIFI tracking využívaný v retailových provozovnách.

• Monitorování zaměstnanců v práci, např. systematické sledování prohlížení, elektronické pošty, elektronická docházka apod.

• Provádění systematických přeshraničních přenosů osobních dat do zemí mimo EU, resp. do zemí, o kterých nebylo rozhodnuto, že zajišťují stejnou úroveň ochrany osobních údajů dotčených osob.

• Zpracování osobních údajů, které zahrnuje zranitelné skupiny lidí (děti, zaměstnanci, pacienti, zdravotně znevýhodnění apod.).

• Využívání inovativních technologických a organizačních řešení, jako např. otisk prstu a rozpoznávání tváře pro zlepšení kontroly fyzického přístupu do určených objektů, příp. některé IoT technologie s vlivem na soukromí lidí, např. data z palubních navigací nebo chytrých televizorů.

Zajímá Vás, jak byla stanovena výše pokuty za porušení GDPR, či jaké preventivní kroky mohou podniky přijmout k zajištění souladu s GDPR? Celý článek naleznete na gdpr.cz