Skip to main content

Ocena skutków dla ochrony danych (DPIA) dla systemów AI: art. 35 RODO

DPIA to obowiązek z RODO, nie z rozporządzenia o AI. Kiedy systemy AI jej wymagają i jak ma się do FRIA.

Ocena skutków dla ochrony danych (DPIA) to obowiązek z art. 35 RODO, a nie z rozporządzenia w sprawie AI. Administrator musi ją przeprowadzić przed przetwarzaniem, które może powodować wysokie ryzyko naruszenia praw lub wolności osób. Typowe przypadki to systemy AI, które profilują osoby, na dużą skalę przetwarzają dane szczególnych kategorii lub monitorują miejsca publiczne.

Rozporządzenie w sprawie AI odnosi się do DPIA w art. 26 ust. 9 i art. 27 ust. 4. Kary RODO za naruszenie art. 35 sięgają 10 mln EUR lub 2 % światowego obrotu rocznego. Obowiązuje wyższa kwota (art. 83 ust. 4 RODO). Następny krok: sprawdzić, czy system przetwarza dane osobowe i kto jest administratorem.

Art. 35 ust. 3 RODO wymienia trzy przypadki, w których wymagana jest DPIA

  • Systematyczna i kompleksowa ocena oparta na zautomatyzowanym przetwarzaniu

    Obejmuje to ocenę czynników osobowych, w tym profilowanie, na której opierają się decyzje wywołujące skutki prawne wobec osoby lub w podobny sposób znacząco na nią wpływające (art. 35 ust. 3 lit. a). Przykład: scoring kredytowy.

  • Przetwarzanie na dużą skalę danych szczególnych kategorii lub danych o wyrokach i naruszeniach prawa

    Obejmuje to szczególne kategorie danych z art. 9 ust. 1 RODO oraz dane dotyczące wyroków skazujących i naruszeń prawa z art. 10 (art. 35 ust. 3 lit. b). Przykład: system AI, który na dużą skalę przetwarza dane o zdrowiu.

  • Systematyczny monitoring na dużą skalę miejsc dostępnych publicznie

    Obejmuje to monitorowanie miejsc publicznych na dużą skalę (art. 35 ust. 3 lit. c). Przykład: analityka wideo w przestrzeni publicznej.

Organy nadzorcze publikują wykazy dalszych rodzajów przetwarzania, które wymagają DPIA (art. 35 ust. 4 RODO).

DPIA ma cztery minimalne części

  • Opis przetwarzania

    Systematyczny opis operacji przetwarzania i ich celów, w tym, w stosownych przypadkach, prawnie uzasadnionego interesu realizowanego przez administratora (art. 35 ust. 7 lit. a).

  • Konieczność i proporcjonalność

    Ocena, czy operacje przetwarzania są niezbędne oraz proporcjonalne do celów (art. 35 ust. 7 lit. b).

  • Ryzyka dla osób, których dane dotyczą

    Ocena ryzyka naruszenia praw lub wolności osób, których dane są przetwarzane (art. 35 ust. 7 lit. c).

  • Środki ograniczające ryzyka

    Zabezpieczenia, środki bezpieczeństwa i mechanizmy, które przeciwdziałają ryzykom i wykazują zgodność z RODO (art. 35 ust. 7 lit. d).

Administrator zasięga też opinii inspektora ochrony danych, o ile został wyznaczony (art. 35 ust. 2). W stosownych przypadkach zasięga opinii osób, których dane dotyczą, lub ich przedstawicieli (art. 35 ust. 9). Przegląda DPIA co najmniej wtedy, gdy zmienia się ryzyko (art. 35 ust. 11). Jeżeli DPIA wykaże wysokie ryzyko, którego administrator nie ograniczy, najpierw konsultuje się z organem nadzorczym (art. 36).

DPIA i FRIA to odrębne oceny, które mogą mieć wspólną treść

  • Różne akty prawne i przedmioty

    DPIA wynika z RODO i dotyczy ochrony danych osobowych. FRIA wynika z art. 27 rozporządzenia w sprawie AI i dotyczy praw podstawowych.

  • Różni adresaci obowiązku

    DPIA spoczywa na administratorze, publicznym lub prywatnym. FRIA spoczywa tylko na podmiotach wdrażających wymienionych w art. 27 ust. 1.

  • Wspólna treść

    Jeżeli DPIA już spełnia obowiązek z art. 27, FRIA może się do niej odwoływać lub zawierać jej części (art. 27 ust. 4). FRIA nadal musi obejmować każdy element art. 27 ust. 1.

Co robi ocena DPIA w Scanara

Scanara nie rozstrzyga, czy DPIA jest wymagana. Jako administrator decydują Państwo o tym wraz z inspektorem ochrony danych.

Pytania prowadzące do DPIA

Bank pytań odpowiada treści art. 35 ust. 7 RODO. Państwo odpowiadają; Scanara zapisuje odpowiedzi jako dowody i przygotowuje projekt raportu DPIA.

Odpowiedzi wstępnie wypełnione na podstawie skanów

Jeśli zeskanowano repozytorium, Scanara wstępnie wypełnia odpowiedzi wynikami skanu. Państwo je sprawdzają i poprawiają.

Powiązanie z FRIA

Ocena FRIA może odwoływać się do zatwierdzonej DPIA tego samego systemu (art. 27 ust. 4).

Otwórz demo Scanara

Więcej o przepisach powiązanych

Najczęstsze pytania o DPIA

Czy rozporządzenie w sprawie AI wymaga DPIA?

Nie. Obowiązek wynika z art. 35 RODO. Rozporządzenie w sprawie AI tylko do niego odsyła: podmioty wdrażające systemy wysokiego ryzyka w stosownych przypadkach wykorzystują do DPIA informacje od dostawcy z art. 13 (art. 26 ust. 9).

Czy ocena skutków dla ochrony danych z RODO zastępuje FRIA?

Nie. Ocena skutków dla ochrony danych może dostarczyć części FRIA, ponieważ art. 27 ust. 4 pozwala podmiotowi wdrażającemu odwołać się do niej lub uwzględnić jej istotne części, ale tylko w odniesieniu do obowiązków z art. 27, które już spełnia. FRIA nadal musi obejmować każdy element z art. 27 ust. 1.

Kiedy DPIA jest potrzebna dla systemu AI?

Gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (art. 35 ust. 1 RODO). Art. 35 ust. 3 wymienia trzy przypadki, w których jest wymagana: systematyczna i kompleksowa ocena oparta na zautomatyzowanym przetwarzaniu, przetwarzanie na dużą skalę danych szczególnych kategorii lub danych o wyrokach i naruszeniach prawa oraz monitorowanie miejsc publicznych na dużą skalę. Należy sprawdzić także wykaz właściwego organu nadzorczego.

Co się stanie, jeśli wymagana DPIA zostanie pominięta?

Kary do 10 mln EUR lub, w przypadku przedsiębiorstwa, do 2 % całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 83 ust. 4 lit. a RODO).

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.