Kiedy trzeba przeprowadzić DPIA?

Co rozstrzyga art. 35 RODO

Kto przeprowadza DPIA

Obowiązek ciąży na administratorze (art. 35 ust. 1). Administrator konsultuje się przy tym z inspektorem ochrony danych, jeżeli go wyznaczył (art. 35 ust. 2). Inspektor udziela zaleceń na żądanie i monitoruje wykonanie oceny (art. 39 ust. 1 lit. c). UODO podkreśla, że administrator nie może scedować obowiązku na inspektora.

Według wytycznych ocenę może przeprowadzić inny podmiot, z organizacji albo spoza niej. Ostateczna odpowiedzialność zostaje jednak przy administratorze. Podmiot przetwarzający nie jest adresatem obowiązku z art. 35 ust. 1. Umowa powierzenia zobowiązuje go do pomocy przy obowiązkach z art. 32–36, z uwzględnieniem charakteru przetwarzania i dostępnych mu informacji (art. 28 ust. 3 lit. f). Według wytycznych ocenę skutków dla produktu, na przykład sprzętu lub oprogramowania, może przygotować jego dostawca. Administrator wdrażający produkt nadal przeprowadza jednak własną ocenę dla swojego wdrożenia i może w niej korzystać z oceny dostawcy.

Gdy przetwarzanie prowadzi kilku współadministratorów, według wytycznych powinni oni określić w ocenie, kto odpowiada za poszczególne środki. W stosownych przypadkach administrator zasięga też opinii osób, których dane dotyczą, lub ich przedstawicieli (art. 35 ust. 9). Dzieje się to bez uszczerbku dla ochrony interesów handlowych lub publicznych lub bezpieczeństwa operacji przetwarzania. Według wytycznych administrator powinien udokumentować uzasadnienie rezygnacji z zasięgnięcia opinii.

Na jakim etapie projektu

Ocena poprzedza rozpoczęcie przetwarzania (art. 35 ust. 1). Wytyczne Grupy Roboczej Art. 29 (WP 248) zatwierdzone przez Europejską Radę Ochrony Danych (EROD) wskazują, że ocena powinna się zacząć jak najwcześniej w fazie projektowania. Według wytycznych możliwa późniejsza aktualizacja nie uzasadnia odroczenia oceny. Przeprowadzanie oceny jest procesem ciągłym, a nie jednorazowym działaniem. W razie potrzeby administrator dokonuje też przeglądu, czy przetwarzanie odbywa się zgodnie z oceną. Przegląd jest konieczny co najmniej wtedy, gdy zmienia się ryzyko (art. 35 ust. 11).

Jaką wagę mają wykaz i wytyczne

Art. 35 RODO jest przepisem prawa. Wykaz z art. 35 ust. 4 ustanawia Prezes UODO. Obowiązujący wykaz ogłoszono komunikatem z 17 czerwca 2019 r. w Monitorze Polskim (poz. 666). Wykaz sam zastrzega, że nie zwalnia z analizy z art. 35 ust. 1, a jego przykłady mają charakter wyłącznie ilustracyjny. Wytyczne WP 248 nie tworzą obowiązku. Pokazują jednak, jak EROD i organy nadzorcze odczytują przesłankę wysokiego ryzyka.

Co trzeba ustalić przed decyzją o DPIA

Czy przetwarzanie jest nowe albo zmienione

Pierwsze pytanie dotyczy momentu. Nowe przetwarzanie ocenia się przed jego uruchomieniem. Według UODO administrator w praktyce musi zawsze przeprowadzić wstępną ocenę, czy planowane operacje mogą powodować wysokie ryzyko.

Według wytycznych ocena może być wymagana po zmianie ryzyka przetwarzania już prowadzonego. Według wytycznych stały przegląd i ponowna ocena to dobra praktyka, więc administrator przetwarzania niewymagającego oceny 25 maja 2018 r. w odpowiednim momencie będzie musiał ją przeprowadzić w ramach rozliczalności. Wytyczne podają przykłady zmiany ryzyka. Należą do nich nowa technologia, wykorzystanie danych w innym celu oraz zmiana kontekstu organizacyjnego lub społecznego. Zmiana może dotyczyć m.in. funkcji, odbiorców i łączenia danych. Może objąć również środki bezpieczeństwa i międzynarodowe przekazywanie danych. Zmiana może też ryzyko zmniejszyć. Gdy decyzje przestają być podejmowane automatycznie, przegląd może wykazać, że ocena nie jest już potrzebna. Uruchomienie bez oceny przetwarzania, które może powodować wysokie ryzyko, narusza art. 35 ust. 1. Ocenę trzeba wtedy przeprowadzić. Późniejsza ocena nie usuwa naruszenia, ale może zakończyć jego trwanie. Czas trwania naruszenia organ nadzorczy bierze pod uwagę, gdy decyduje o karze i jej wysokości (art. 83 ust. 2 lit. a).

Czy zachodzi przypadek z art. 35 ust. 3

Trzy przypadki z art. 35 ust. 3 poprzedza zwrot „w szczególności”. Gdy któryś zachodzi, ocena jest wymagana. Gdy żaden nie zachodzi, obowiązek nadal może wynikać z art. 35 ust. 1 albo z przepisu szczególnego. Wykaz UODO z art. 35 ust. 4 konkretyzuje ust. 1.

Pierwszy przypadek to ocena czynników osobowych, która jest systematyczna i kompleksowa. Ocena opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu. Jest też podstawą decyzji wywołujących skutki prawne wobec osoby albo w podobny sposób znacząco na nią wpływających. Przepis nie wymaga jednak, by sama decyzja zapadała wyłącznie automatycznie, jak w art. 22 ust. 1.

Nieprawomocna decyzja Prezesa UODO DKN.5112.14.2022 z 18 grudnia 2024 r. dotyczy banku, którego ocena skutków dla procesu oceny kredytowej nie wyodrębniała profilowania klientów. Według organu art. 35 ust. 3 lit. a nie zobowiązywał banku do oceny wprost, bo bank nie wydawał w sposób zautomatyzowany decyzji o udzieleniu kredytu. Organ przytoczył przy tym wytyczne WP 251, według których przepis obejmuje także decyzje, które nie są w pełni zautomatyzowane. Według organu katalog z art. 35 ust. 3 nie jest zamknięty, więc obowiązek oceny może wynikać także z art. 35 ust. 1. Według organu profilowanie powinno być objęte oceną choćby ze względu na dużą skalę, zakres, kontekst i cele. Organ uznał brak oceny skutków dla profilowania za naruszenie art. 35 ust. 1 i 7. Zastrzegł przy tym, że zbiorcza ocena całego procesu co do zasady może być prawidłowa. Nie dotyczy to jednak procesu, który obejmuje takie profilowanie. Organ stwierdził też brak profilowania w rejestrze czynności przetwarzania (art. 30 ust. 1).

Drugi przypadek dotyczy danych z art. 9 ust. 1 lub danych z art. 10. Pierwsze to m.in. dane o zdrowiu, dane biometryczne przetwarzane w celu jednoznacznej identyfikacji osoby i dane o przekonaniach religijnych lub światopoglądowych. Drugie dotyczą wyroków skazujących i czynów zabronionych. Rozstrzyga tu skala. RODO nie definiuje przetwarzania na dużą skalę. Wytyczne wskazują w szczególności cztery czynniki — liczbę osób, zakres danych, czas trwania przetwarzania i jego zasięg geograficzny. Przy systemie informatycznym szpitala, który przetwarza dane genetyczne i dane o zdrowiu pacjentów, wytyczne wskazują m.in. kryterium dużej skali i prawdopodobny obowiązek oceny. Przetwarzanie danych pacjentów lub klientów przez pojedynczego lekarza, innego pracownika służby zdrowia albo prawnika według wytycznych prawdopodobnie oceny nie wymaga, choć wytyczne wskazują przy nim dwa możliwe kryteria. Wytyczne nie przypisują temu przetwarzaniu kryterium dużej skali.

Trzeci przypadek to systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie. Wytyczne rozumieją przez nie miejsca otwarte dla każdego, takie jak ulica, centrum handlowe czy stacja kolejowa. Według wytycznych „systematyczne” oznacza m.in. prowadzone w ramach systemu, zaplanowane z góry albo realizowane jako część strategii.

Ile kryteriów z wykazu UODO spełnia przetwarzanie

Wykaz Prezesa UODO wymienia 12 kryteriów i rodzajów operacji.

1. Ewaluacja lub ocena (w tym profilowanie i przewidywanie) w celach wywołujących negatywne skutki prawne, fizyczne lub finansowe albo inne niedogodności dla osób.
2. Zautomatyzowane podejmowanie decyzji o skutkach prawnych, finansowych lub podobnie istotnych.
3. Systematyczne monitorowanie na dużą skalę miejsc dostępnych publicznie z elementami rozpoznawania cech lub właściwości obiektów.
4. Przetwarzanie szczególnych kategorii danych oraz danych o wyrokach skazujących i czynach zabronionych (danych wrażliwych według opinii Grupy Roboczej Art. 29).
5. Przetwarzanie danych biometrycznych wyłącznie w celu identyfikacji osoby albo kontroli dostępu.
6. Przetwarzanie danych genetycznych.
7. Przetwarzanie danych na dużą skalę.
8. Porównania, ocena lub wnioskowanie na podstawie danych z różnych źródeł.
9. Przetwarzanie danych osób, których ocena i usługi zależą od podmiotów z uprawnieniami nadzorczymi lub ocennymi.
10. Innowacyjne wykorzystanie rozwiązań technologicznych lub organizacyjnych.
11. Przetwarzanie, które samo uniemożliwia osobom wykonanie prawa albo skorzystanie z usługi lub umowy.
12. Przetwarzanie danych lokalizacyjnych.

Według wykazu przetwarzanie spełniające co najmniej dwa kryteria co do zasady wymaga DPIA. W niektórych przypadkach administrator może uznać, że wystarczy jedno. Im więcej kryteriów spełnia przetwarzanie, tym bardziej prawdopodobne jest wysokie ryzyko, a w konsekwencji ocena jest wymagana niezależnie od planowanych środków.

Dla działów kadr, podmiotów leczniczych i administracji publicznej ważne jest kryterium wytycznych dotyczące osób wymagających szczególnej opieki. Wytyczne wskazują, że do tej grupy można zaliczyć m.in. dzieci, pracowników i pacjentów ze względu na nierównowagę sił wobec administratora. Według wytycznych do tej grupy mogą też należeć osoby w każdej sytuacji, w której można stwierdzić brak równowagi między ich stanowiskiem a stanowiskiem administratora. W przetwarzaniu danych pracowników to kryterium może więc być spełnione. Gdy dochodzi drugie, na przykład systematyczne monitorowanie albo ocena, według wytycznych DPIA co do zasady jest potrzebna.

Kryterium 3 ma zastrzeżenie. Nie obejmuje monitoringu wizyjnego, w którym obraz jest nagrywany i wykorzystywany tylko w razie potrzeby analizy incydentów naruszenia prawa. Zastrzeżenie dotyczy kryterium wykazu i nie zmienia art. 35 ust. 3 lit. c. Systematyczny monitoring na dużą skalę miejsc dostępnych publicznie wymaga oceny także wtedy, gdy obraz służy tylko do analizy incydentów naruszenia prawa. UODO przypomina też stanowisko EROD, że zasadne jest założenie konieczności oceny w wielu przypadkach monitoringu wizyjnego. Wynik zależy więc od skali, systematyczności i celu monitoringu, a nie od samego braku rozpoznawania obrazu.

Przykłady z wykazu, poradnika UODO i wytycznych pokazują, jak liczyć kryteria. Wynik w każdym wierszu jest wskazówką, a rozstrzyga ocena konkretnego przetwarzania z art. 35 ust. 1.

Przetwarzanie	Kryteria	Czy DPIA jest wymagana	Wyjątki i ograniczenia
Monitorowanie czasu pracy i korzystania przez pracowników z poczty i internetu	3 i 9 z wykazu UODO	tak — przykład UODO	wykaz wymienia zakłady pracy przy kryterium 3
Ocena zdolności kredytowej algorytmami sztucznej inteligencji objęta obowiązkiem zachowania tajemnicy	1, 2, 4, 8, 9 i 11 z wykazu UODO	tak — przykład UODO	—
Narzędzie sztucznej inteligencji wspierające diagnostykę obrazową w szpitalu	4, 7 i 10 z wykazu UODO	tak — przykład UODO	—
Zbieranie publicznych danych z mediów społecznościowych w celu tworzenia profili	ocena lub punktacja, duża skala, łączenie zbiorów oraz dane wrażliwe lub o charakterze wysoce osobistym (WP 248)	tak — przykład z wytycznych	—
Monitoring do zarządzania ruchem umożliwiający szczegółowy nadzór nad kierowcą, np. z automatyczną identyfikacją pojazdów	3 i 10 według poradnika UODO	tak — przykład UODO	—
System zgłaszania nieprawidłowości, w którym przetwarza się dane pracowników	9 z wykazu UODO	zależy od drugiego kryterium	drugim może być kryterium 4, gdy zgłoszenia dotyczą czynów zabronionych
Ogólny codzienny biuletyn magazynu internetowego wysyłany do subskrybentów	duża skala (WP 248)	prawdopodobnie nie — przykład z wytycznych	jedno kryterium; administrator może jednak uznać ocenę za potrzebną

Czy przetwarzanie dotyczy sztucznej inteligencji

UODO wskazuje kryteria, które podmiot stosujący system sztucznej inteligencji powinien w szczególności wziąć pod uwagę. Należą do nich kryteria 1–3 oraz 7 i 8. Dochodzą kryteria 10 i 11 (poradnik oznacza kryterium 11 numerem 9). UODO wskazuje też, że ocena może być potrzebna na różnych etapach tworzenia i wdrażania systemu. Według UODO co do zasady można przyjąć, że przetwarzanie danych przy tworzeniu i wdrażaniu systemów sztucznej inteligencji wysokiego ryzyka wymaga DPIA. Chodzi o systemy wysokiego ryzyka w rozumieniu aktu w sprawie sztucznej inteligencji (rozporządzenie 2024/1689). To stanowisko organu, a nie brzmienie przepisu. UODO zwraca też uwagę, że obowiązek oceny może wynikać wprost z odrębnych przepisów. Jako przykład podaje dyrektywę 2024/2831 o pracy za pośrednictwem platform, z terminem wdrożenia 2 grudnia 2026 r.

Kiedy DPIA nie jest wymagana

Pierwszy wyjątek wynika z art. 35 ust. 10. Ustępów 1–7 nie stosuje się, gdy przetwarzanie na podstawie art. 6 ust. 1 lit. c lub e ma podstawę w prawie Unii lub państwa członkowskiego. To prawo musi regulować daną operację lub zestaw operacji, a oceny skutków dla ochrony danych dokonano już w ramach oceny skutków regulacji przy przyjmowaniu tej podstawy. Warunki muszą wystąpić łącznie, więc sama podstawa prawna przetwarzania nie wystarcza. Nawet przy spełnieniu warunków państwo członkowskie może uznać ocenę przed rozpoczęciem przetwarzania za niezbędną. Według wytycznych ocena z etapu legislacji prawdopodobnie będzie wymagała przeglądu przed rozpoczęciem przetwarzania. Przyjęte przepisy mogą bowiem różnić się od projektu. Wytyczne zaznaczają przy art. 35 ust. 11, że art. 35 ust. 10 wyłącza tylko ust. 1–7. Przegląd z ust. 11 obowiązuje więc także w tym przypadku.

Drugi przypadek dotyczy operacji podobnych. Obowiązek zostaje, ale podobne operacje o podobnym wysokim ryzyku można objąć jedną oceną (art. 35 ust. 1). Według wytycznych grupa władz miejskich, które instalują podobne systemy monitoringu wizyjnego, może przeprowadzić jedną wspólną ocenę. Według wytycznych z jej wyników może korzystać inne przetwarzanie o bardzo podobnym charakterze, zakresie, kontekście i celach. Według wytycznych wspólna ocena może objąć kilku administratorów. Udostępniają lub publikują wtedy ocenę referencyjną, wdrażają opisane w niej środki i uzasadniają wybór jednej oceny.

Art. 35 ust. 5 pozwala organowi nadzorczemu ustanowić wykaz operacji zwolnionych z oceny, ale tego nie nakazuje. Prezes UODO ogłosił jedynie wykaz operacji wymagających oceny. Polskiego wykazu operacji zwolnionych nie ma też w rejestrze EROD (stan na 7 listopada 2026 r.).

Wykaz UODO i wytyczne przypominają, że administrator nadal ocenia ryzyko i dobiera środki ochrony.

Jak zapisać decyzję o braku DPIA

Wytyczne opisują przetwarzanie, które spełnia kryteria, choć administrator nie widzi wysokiego ryzyka. Administrator powinien wtedy uzasadnić i udokumentować powody nieprzeprowadzenia oceny oraz zapisać stanowisko inspektora. Według wytycznych administrator ocenia prawdopodobieństwo wysokiego ryzyka także wtedy, gdy ostatecznie oceny nie przeprowadza. W razie wątpliwości wytyczne zalecają ocenę przeprowadzić.

Co, gdy DPIA wykaże wysokie ryzyko

Ocena zawiera co najmniej systematyczny opis planowanych operacji i celów oraz ocenę niezbędności i proporcjonalności (art. 35 ust. 7). Obejmuje też ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą, oraz środki planowane w celu zaradzenia temu ryzyku. Gdy ocena wskaże, że przetwarzanie powodowałoby wysokie ryzyko bez środków administratora minimalizujących to ryzyko, administrator przed rozpoczęciem przetwarzania konsultuje się z organem nadzorczym (art. 36 ust. 1). Wytyczne odczytują ten przepis jako sytuację, w której ryzyko szczątkowe pozostaje wysokie mimo zaplanowanych środków. Podają przykłady takiego ryzyka. Należą do nich m.in. znaczne lub nieodwracalne konsekwencje dla osób oraz znana luka w zabezpieczeniach, która nie zostanie usunięta.

Gdy organ uzna, że przetwarzanie naruszałoby RODO, udziela pisemnego zalecenia w terminie do ośmiu tygodni od wpłynięcia wniosku. Termin można przedłużyć o sześć tygodni ze względu na złożony charakter przetwarzania. Bieg terminów można też zawiesić do czasu uzyskania żądanych informacji. Organ może też skorzystać z uprawnień z art. 58 (art. 36 ust. 2). Niezależnie od art. 36 ust. 1 prawo państwa członkowskiego może wymagać konsultacji z organem i jego uprzedniej zgody przy przetwarzaniu do celów zadania realizowanego w interesie publicznym (art. 36 ust. 5).

Jak wpleść DPIA w projekty i zakupy

Obowiązek z art. 35 ust. 1 łatwo przeoczyć, bo nowe przetwarzanie rzadko nazywa się w organizacji przetwarzaniem. Zwykle jest projektem IT, zakupem usługi chmurowej, nowym formularzem albo zmianą procesu kadrowego. Bywa też usługą kupioną przez dział biznesowy bez udziału IT albo nową funkcją włączoną w narzędziu, którego organizacja już używa. Rekomenduję wpiąć wstępną ocenę w obieg projektów, zakupów i zmian procesów, zanim organizacja wybierze dostawcę albo zatwierdzi projekt.

Dobrze sprawdza się krótki formularz wypełniany przez właściciela procesu. Opisuje on dane, osoby, cel i technologię. Wskazuje też dostawcę i miejsce przetwarzania. Odnotowuje przypadki z art. 35 ust. 3, kryteria z wykazu UODO i zdarzenie, które uruchomi przegląd. Inspektor ochrony danych wydaje do niego opinię. O potrzebie pełnej oceny decyduje w imieniu administratora osoba odpowiedzialna za proces. Według wytycznych opinia inspektora i decyzje podjęte przez administratora powinny być udokumentowane w ocenie skutków. Formularz warto powiązać z rejestrem czynności przetwarzania (art. 30 ust. 1). W zapytaniu ofertowym warto zastrzec przekazanie oceny produktu przez dostawcę, jeśli ją ma.

Pełna ocena angażuje właściciela procesu, inspektora i zespół bezpieczeństwa IT. Jej koszt to głównie ich czas na opis przepływów danych, analizę ryzyka i dobór środków. Przy uprzednich konsultacjach dochodzi termin organu z art. 36 ust. 2. Ukończoną ocenę i ewentualne uprzednie konsultacje warto ustawić jako kamień milowy przed pierwszym użyciem danych rzeczywistych, także w testach.

Wnioski i dalsze kroki

Obowiązek DPIA wynika z prawdopodobieństwa wysokiego ryzyka albo z przepisu szczególnego, a nie z samego rodzaju organizacji ani jej wielkości.

1. Wpisz do obiegu projektów, zakupów i zmian procesów krok wstępnej oceny przed wyborem dostawcy albo zatwierdzeniem projektu.
2. Sprawdź przypadki z art. 35 ust. 3 i policz kryteria z wykazu UODO.
3. W razie wątpliwości przeprowadź ocenę.
4. Wyodrębnij w ocenie każdą operację, która uruchamia obowiązek, w tym profilowanie.
5. Ustal zdarzenia, po których ocenę się przegląda — nową technologię, nowy cel i zmianę kontekstu. Okresowo sprawdzaj oceny przy przeglądzie rejestru czynności.
6. Gdy według oceny ryzyko szczątkowe pozostaje wysokie, zaplanuj uprzednie konsultacje z organem nadzorczym przed uruchomieniem.

Materiały powiązane

• Jak dopuścić asystenta AI do pracy w organizacji? — ocena skutków przy narzędziach sztucznej inteligencji.
• Co musi zawierać umowa powierzenia przetwarzania danych osobowych? — pomoc podmiotu przetwarzającego przy ocenie skutków.
• Jakich informacji zarząd powinien oczekiwać od IOD? — podział ról administratora i inspektora.
• Czy narzędzie AI, którego używamy, jest systemem wysokiego ryzyka? — kwalifikacja zastosowania AI a profilowanie.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja skonsolidowana — art. 6 ust. 1 lit. c i e, art. 9 ust. 1, art. 10, art. 22 ust. 1, art. 28 ust. 3 lit. f, art. 30 ust. 1, art. 35, art. 36 ust. 1, 2 i 5, art. 39 ust. 1 lit. c, art. 58 (w tym ust. 2 lit. f) oraz art. 83 ust. 2 lit. a i ust. 4 lit. a — eur-lex.europa.eu.
• Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony (M.P. 2019 poz. 666) — monitorpolski.gov.pl.
• Grupa Robocza Art. 29, Wytyczne dotyczące oceny skutków dla ochrony danych oraz pomagające ustalić, czy przetwarzanie „może powodować wysokie ryzyko” do celów rozporządzenia 2016/679 (WP 248 rev.01), zatwierdzone przez EROD — wersja polska (Urząd Ochrony Danych Osobowych) i oryginał angielski (Komisja Europejska) — wersja polska (uodo.gov.pl), oryginał angielski (ec.europa.eu).
• Urząd Ochrony Danych Osobowych, „Kiedy trzeba przeprowadzić ocenę skutków dla ochrony danych?”, poradnik z 31 marca 2025 r. — uodo.gov.pl.
• Decyzja Prezesa Urzędu Ochrony Danych Osobowych DKN.5112.14.2022 z 18 grudnia 2024 r. (nieprawomocna) — baza orzeczeń UODO — orzeczenia.uodo.gov.pl.
• Europejska Rada Ochrony Danych, rejestr wykazów rodzajów operacji przetwarzania w zakresie oceny skutków dla ochrony danych (art. 35 ust. 4 i 5 RODO) — edpb.europa.eu.