Obecné nařízení o ochraně osobních údajů (dále jen „Nařízení“) přináší mimo jiné i novou povinnost, která spočívá v posouzení vlivu zpracování osobních údajů na jejich ochranu (dále jen „PVOOÚ“). Aby bylo pro správce a zpracovatele osobních údajů jasnější, ve kterých případech budou muset tuto analýzu vlivů provést, Pracovní komise Evropské unie připravila Pokyny, které by měly celou problematiku objasnit.
Článek 35 Nařízení hned v prvním odstavci uvádí, že správce provede před samotným zpracováním PVOOÚ „pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, bude s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování bude mít za následek vysoké riziko pro práva a svobody fyzických osob …“
Základní obecnou podmínkou provedení PVOOÚ je tedy to, že zpracování informací může mít za následek „vysoké riziko pro práva a povinnosti fyzických osob“. Což je zejména relevantní v situacích, kdy jsou na trh uváděny nové technologické metody zpracování osobních údajů. Pracovní komise EU správcům/zpracovatelům důrazně doporučuje provést PVOOÚ i případech, kdy není jisté, že na ně tato povinnost dopadá.
Pro bližší upřesnění toho, zda je v konkrétním případě vyžadováno PVOOÚ, Pracovní komise EU stanovila těchto 9 bodů:
- Hodnocení, včetně profilování a předvídání, a to zejména „aspektů týkajících se výkonnosti subjektu údajů v práci, ekonomické situace subjektu, jeho zdraví, osobních preferencí nebo zájmů, spolehlivosti nebo chování, umístění nebo pohybu“ (body odůvodnění 71 a 91). Příkladem může být finanční instituce, která prověřuje své klienti prostřednictvím databáze úvěrů nebo prostřednictvím databáze proti praní špinavých peněz a financování terorismu (AML/CTF – anti-money-laundering/countering the financing of terrorism) nebo prostřednictvím databáze podvodného jednání. Dalším příkladem může být biotechnologická společnost nabízející zákazníkům vyhodnocení genetických testů za účelem předpovědi zdravotních rizik nebo společnost zabývající se vytvářením behaviorálních či marketingových profilů založených na využití a způsobu užití jejich internetových stránek.
- Automatické rozhodování s významnými právními nebo obdobnými dopady: zpracování, jehož cílem je přijímat rozhodnutí o subjektech údajů, které „vyvolávají ve vztahu k fyzickým osobám nebo mají na fyzické osoby podobně závažný dopad“ (čl. 35 odst. 3 písm. a) Nařízení). Zpracování může například vést k vyloučení nebo diskriminaci jednotlivců. Zpracování s malým nebo žádným účinkem na jednotlivce neodpovídá tomuto konkrétnímu kritériu. Další vysvětlení těchto pojmů bude uvedeno v připravovaných Pokynech WP29 o profilování.
- Systematické sledování: zpracování použité k pozorování, sledování nebo kontrole subjektů údajů, včetně údajů shromážděných prostřednictvím sítí nebo „rozsáhlé systematické monitorování veřejně přístupných prostorů“ (čl. 35 odst. 3 písm. c) Nařízení). Toto rozsáhlé systematické sledování je důležitým kritériem pro Posouzení vlivu na ochranu osobních údajů, neboť osobní údaje v těchto případech mohou být shromažďovány za okolností, kdy si subjekty údajů nemusí být vědomy, kdo shromažďuje jejich údaje a jak s nimi bude nakládáno. Dále může být nemožné, aby se jednotlivci vyhýbali takovému zpracování ve veřejných (nebo veřejně přístupných) prostorech.
- Citlivé údaje nebo údaje vysoce osobní povahy: to zahrnuje zvláštní kategorie osobních údajů definované v článku 9 Nařízení (například informace o politických názorech jednotlivců), jakož i osobní údaje týkající se rozsudků v trestních věcech a trestných činů, jak jsou vymezeny v čl. 10. Příkladem by mohla být nemocnice vedoucí lékařskou evidenci pacientů nebo soukromý vyšetřovatel, který by si uchovával záznamy pachatelů. Kromě těchto ustanovení GDPR, lze některé kategorie údajů považovat za zvyšující se možné riziko pro práva a svobody jednotlivců. Tyto osobní údaje jsou považovány za citlivé, protože jsou spojeny s domácími a soukromými činnostmi (například s elektronickou komunikací, jejíž důvěrnost by měla být chráněna), nebo proto, že ovlivňují výkon základního práva (například údaje o pohybu a pobytu, jejichž shromáždění může zpochybňovat svobodu pohybu), nebo proto, že jejich porušení má závažné dopady na každodenní život subjektu údajů (např. finanční údaje, které by mohly být použity pro platební podvody). V tomto ohledu může být důležité, zda údaje již byly veřejně zpřístupněny subjektem údajů nebo třetími stranami. Skutečnost, že jsou osobní údaje veřejně přístupné, lze považovat za faktor při posuzování, zda zde byl souhlas k tomu údaje dále použít k určitým účelům. Toto kritérium může zahrnovat také údaje jako osobní dokumenty, e-maily, deníky, poznámky z elektronických čteček vybavených funkcemi pro záznam poznámek a velmi osobní informace obsažené v aplikacích pro zaznamenávání životních dat.
- Rozsáhlé zpracování osobních údajů: GDPR neurčuje, co je třeba si představit pod pojmem „rozsáhlé“, přestože bod odůvodnění 91 poskytuje určitá kritéria. V každém případě WP29 doporučuje (při rozhodování o tom, zda je zpracování osobních údajů rozsáhlé) vzít v úvahu zejména tyto faktory: počet dotčených subjektů údajů, a to buď jako konkrétní počet, nebo jako podíl na příslušné populaci; objem dat a/nebo rozsah zpracovávaných datových položek; trvání nebo trvalost činnosti zpracování údajů; zeměpisný rozsah zpracovatelské činnosti.
- Spojování nebo kombinování databází, například pocházejících z dvou nebo více operací zpracování dat prováděných pro různé účely a/nebo od různých správců údajů způsobem, který by nebyl v souladu s rozumným očekáváním subjektu údajů.
- Údaje týkající se zranitelných subjektů údajů (75. bod odůvodnění): zpracování tohoto druhu údajů je kritériem pro Posouzení vlivu na ochranu osobních údajů kvůli zvýšené nerovnováze mezi subjekty údajů a správcem údajů, což znamená, že jednotlivci nemusí být schopni snadno odmítnout zpracování jejich údajů nebo uplatňovat svá práva. Za zranitelné subjekty údajů mohou být považovány děti (nemusí být schopny vědomě a informovaně odepřít (nebo dát) souhlas se zpracováním svých údajů), zaměstnanci, zranitelnější části obyvatelstva vyžadující zvláštní ochranu (duševně nemocné osoby, žadatelé o azyl, starší osoby, pacienti atd.) a v další osoby v případě, kdy je možné zjistit nerovnováhu ve vztahu mezi postavením subjektu údajů a správcem.
- 8. Inovativní používání nebo užití nových technologických nebo organizačních řešení, jako je kombinace použití otisků prstů a rozpoznávání obličeje pro zlepšení fyzické kontroly přístupu atd. GDPR zdůrazňuje (čl. 35 odst. 1 a body odůvodnění 89 a 91), že použití nových technologií „v souladu s dosaženou úrovní technických znalostí“ (91. bod odůvodnění) může vyvolat potřebu provedení Posouzení vlivu na ochranu osobních údajů. Je to proto, že použití takové technologie může zahrnovat nové formy shromažďování a používání údajů, a to případně s vysokým rizikem pro práva a svobody jednotlivců. Osobní a sociální důsledky zavádění nové technologie jsou téměř vždy neznámé. PVOOÚ pomůže správci údajů porozumět a efektivně řešit taková rizika. Například některé aplikace „Internetu věcí (Internet of Things)“ mohou mít významný dopad na každodenní život a soukromí jednotlivců; a proto vyžadují PVOOÚ.
- Pokud samotné zpracování „zabraňuje subjektům údajů vykonávat právo nebo využívat službu nebo smlouvu“ (článek 22 a 91. bod odůvodnění). Jedná se o operace zpracování, jejichž cílem je umožnit, změnit nebo zamítnout přístup subjektu údajů k službě nebo k uzavření smlouvy. Příkladem toho je situace, kdy banka kontroluje své zákazníky proti referenční databázi úvěrů, aby se rozhodla, zda jim půjčí finanční prostředky.
Ve většině případů bude PVOOÚ vyžadována při naplnění dvou a více výše zmíněných kritérií, kdy čím více kritérií bude naplněno, tím větší riziko hrozí subjektům osobních údajů.
V některých případech může PVOOÚ vyžadovat i takové zpracovávání osobních údajů, které naplňuje znaky pouze jednoho výše zmíněného kritéria.