Kuźnicka-Błaszkowska Dominika, Obowiązek przeprowadzania oceny skutków dla ochrony danych przez organy samorządu gminnego

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (rozporządzenie o ochronie danych osobowych) wprowadziło nowe standardy w zakresie realizacji obowiązków nałożonych na administratorów danych w związku z przetwarzaniem przez nich danych osobowych. Jeden z nich, obowiązek przeprowadzenia oceny skutków dla ochrony danych, wciąż budzi wątpliwości administratorów w sektorze prywatnym i publicznym. Niedookreśloność pojęć wykorzystanych przez unijnego prawodawcę w art. 35 RODO powoduje istotne trudności w praktyce jego stosowania. Przedmiotem artykułu jest analiza przedmiotowa i podmiotowa obowiązku przeprowadzenia oceny skutków dla ochrony danych w sektorze publicznym, ze szczególnym uwzględnieniem administratorów danych będących organami samorządu gminnego. Głównym celem artykułu jest wyjaśnienie, w jakich sytuacjach i w jaki sposób obowiązek ten powinien być realizowany.

Przeprowadzone badania pozwalają stwierdzić, że administrator danych będący organem samorządu gminnego powinien przeprowadzić ocenę skutków dla ochrony danych niemal dla wszystkich procesów przetwarzania, przede wszystkim z uwagi na dużą liczbę podmiotów, których dane przetwarza, jak również charakter tych danych. Aby odciążyć gminy w tym zakresie, ustawodawca mógłby zdecydować się na przeprowadzenie oceny skutków na etapie procesu legislacyjnego, tak się jednak dotychczas nie stało. Warto podkreślić, że przeprowadzenie oceny skutków dla ochrony danych nie tylko pozwala administratorom zapewnić odpowiedni poziom ochrony podmiotom danych, lecz także w odpowiedni sposób wdrażać zasadę rozliczalności w procesach przetwarzania.