Evropský sbor pro ochranu osobních údajů (EDPB) přijal první standardizovanou šablonu pro
vypracování posouzení vlivu na ochranu osobních údajů (DPIA). Tento krok směřuje k
harmonizaci postupů mezi dozorovými úřady členských států EU a má pomoci správcům
osobních údajů lépe strukturovat a zaznamenávat povinná hodnocení rizik podle GDPR.
Dokument je aktuálně ve verzi 1.0 a EDPB k němu otevřel veřejnou konzultaci, která potrvá až
do 9. června 2026.
Šablona přináší detailní strukturu rozdělenou do několika částí. Úvodní sekce vyžaduje přesnou
identifikaci správce, všech zpracovatelů i subzpracovatelů včetně jejich konkrétních povinností.
Systematický popis v rámci samotné DPIA by měl být zaměřen na celý životní cyklus dat od jejich
sběru až po trvalý výmaz. V této souvislosti musí správci popsat kategorie údajů, účely zpracování
a funkční aspekty operací, jako jsou metody ukládání, sdílení dat s třetími stranami nebo předávání
údajů mimo Evropskou unii.
Významnou novinkou, na kterou šablona klade důraz, je podrobný soupis podpůrných aktiv.
Správci by měli identifikovat veškeré zdroje, jejichž narušení by mohlo mít dopad na práva a
svobody subjektů údajů. To zahrnuje fyzickou infrastrukturu, jako jsou servery, laptopy a mobilní
zařízení, ale také softwarové nástroje, databáze, API rozhraní a modely. Opomenut nesmí být ani
personální prvek, tedy uživatelé, administrátoři a vývojáři. Tato úroveň detailu je kritická zejména
pro subjekty v oblasti marketingových technologií a reklamních platforem, kde komplexita
dodavatelského řetězce zvyšuje rizika plynoucí z případného poškození některého z prvků.
Samotné hodnocení rizik je v šabloně rozděleno do dvou metodických rámců. První se zabývá
riziky, která vyplývají ze samotné podstaty zpracování, tedy hrozbami, jež existují i v případě, že
vše funguje podle plánu. Druhý rámec se zaměřuje na rizika plynoucí z neobvyklých či
nezákonných událostí, jako jsou softwarové chyby, chybná konfigurace přístupových práv, lidské
omyly při odesílání dat nebo cílené kybernetické útoky. Výsledná úroveň rizika je definována jako
součin pravděpodobnosti a závažnosti dopadu. Šablona navíc vyžaduje identifikaci přitěžujících
faktorů, mezi něž patří vysoká citlivost údajů, zpracování dat zranitelných osob, jako jsou děti,
pacienti či zaměstnanci, nebo rozsáhlý počet subjektů údajů.
V závěrečné fázi šablona ukládá správcům povinnost zdokumentovat stanovisko pověřence pro
ochranu osobních údajů a vysvětlit, jak byla jeho doporučení do výsledného procesu zapracována.