Stručná odpověď: Posouzení dopadu na ochranu osobních údajů (DPIA) je právně vyžadováno podle článku 35 GDPR vždy, když činnost zpracování pravděpodobně povede k vysokému riziku pro práva a svobody jednotlivců. To platí pro činnosti, jako je rozsáhlé profilování, systematické monitorování veřejných prostor a zpracování zvláštních kategorií údajů. Neprovedení DPIA, když je vyžadováno, může vaši organizaci vystavit značným regulačním sankcím a poškození pověsti.
Klíčové poznatky
- DPIA je povinné podle článku 35 GDPR pro činnosti zpracování, které „pravděpodobně povedou k vysokému riziku“ pro práva a svobody jednotlivců [3]
- Tři typy zpracování vždy vyžadují DPIA: systematické hodnocení jednotlivců, rozsáhlé zpracování citlivých údajů a systematické monitorování veřejně přístupných oblastí [3]
- Národní úřady pro ochranu osobních údajů zveřejňují seznamy operací zpracování, které vyžadují DPIA, a poskytují tak pokyny specifické pro danou jurisdikci [3]
- Vynechání povinného DPIA může mít za následek pokuty až do výše 10 milionů eur nebo 2 % celkového ročního obratu podle GDPR
- EDPB přijal standardizovanou šablonu DPIA v dubnu 2026, aby zlepšil konzistenci napříč členskými státy EU [1]
- Systémy umělé inteligence a modely strojového učení, které provádějí automatizovaná rozhodnutí s významnými dopady na jednotlivce, téměř vždy vyžadují DPIA [2]
- Malé podniky nejsou automaticky osvobozeny; spouštěčem je povaha zpracování, nikoli velikost organizace [5]
- DPIA je živý dokument, který musí být revidován a aktualizován vždy, když se podstatně změní činnosti zpracování [3]
- Pokud zbytková rizika zůstanou vysoká i po zmírnění, organizace musí před pokračováním konzultovat svůj dozorový úřad [3]
- DPIA se liší od posouzení dopadu na soukromí (PIA) především svým právním základem a povinnými konzultačními povinnostmi
Co je DPIA a proč ho potřebujete?
Posouzení dopadu na ochranu osobních údajů je strukturovaný proces, který pomáhá organizacím identifikovat, posoudit a zmírnit rizika pro jednotlivce vyplývající z činností zpracování dat. Podle GDPR se nejedná o volitelný pokyn, ale o právní povinnost pro vysoce rizikové zpracování [3].
Hlavním účelem DPIA je odpovědnost. Nutí organizace systematicky přemýšlet o tom, jaká data shromažďují, proč je shromažďují, kdo k nim má přístup a co by se mohlo pokazit. Irská komise pro ochranu osobních údajů ji popisuje jako nástroj, který prokazuje, že organizace zvážila rizika soukromí před zahájením zpracování, nikoli až po porušení [5].
DPIA obvykle zahrnuje:
- Popis zpracování a jeho účelů
- Posouzení nezbytnosti a proporcionality
- Hodnocení rizik pro subjekty údajů
- Plánovaná opatření k řešení těchto rizik
EDPB přijal standardizovanou šablonu DPIA v dubnu 2026, aby pomohl organizacím strukturovat tento proces konzistentně v celé EU [1].
Kdy je DPIA vyžadováno podle GDPR?
Článek 35 GDPR vyžaduje DPIA před jakýmkoli zpracováním, které „pravděpodobně povede k vysokému riziku“ pro práva a svobody fyzických osob [3]. Tři konkrétní scénáře vždy spouštějí tuto povinnost:
- Systematické a rozsáhlé profilování s významnými dopady, včetně automatizovaného rozhodování
- Rozsáhlé zpracování zvláštních kategorií údajů (zdravotní, biometrické, rasový původ atd.) nebo osobních údajů týkajících se trestních odsouzení
- Systematické monitorování veřejně přístupných oblastí ve velkém měřítku
Kromě těchto tří zveřejňují národní dozorové úřady seznamy operací zpracování, které vyžadují DPIA v jejich jurisdikci. Organizace působící v několika členských státech EU by měly zkontrolovat každý relevantní národní seznam.
Pravidlo rozhodování: Pokud vaše zpracování splňuje dvě nebo více z devíti kritérií rizika EDPB (nová technologie, velký rozsah, citlivá data, systematické monitorování, porovnávání nebo kombinování datových sad, zranitelné subjekty údajů, inovativní použití, riziko odepření služby nebo automatizované rozhodování), DPIA je téměř jistě vyžadováno [4].
Co se považuje za vysoce rizikové zpracování dat?
Vysoce rizikové zpracování je definováno povahou, rozsahem, kontextem a účelem činnosti, nikoli pouze objemem zpracovávaných dat. EDPB poskytuje pokyny identifikující specifické charakteristiky, které zvyšují zpracování na status vysokého rizika [4].
Klíčové ukazatele zahrnují:
| Ukazatel rizika | Příklad |
|---|---|
| Automatizované rozhodování | Bodování úvěrů, modely pojišťovacích rizik |
| Citlivé kategorie dat | Zdravotní záznamy, biometrická autentizace |
| Rozsáhlé zpracování | Národní databáze věrnostních programů |
| Monitorování veřejných prostor | CCTV s rozpoznáváním obličeje |
| Porovnávání nebo kombinování dat | Křížové odkazy sociálních médií s historií nákupů |
| Zranitelné subjekty údajů | Děti, pacienti, zaměstnanci |
| Nová nebo neověřená technologie | Generativní AI, nástroje pro detekci emocí |
Jediný ukazatel automaticky nenařizuje DPIA, ale dva nebo více v kombinaci téměř vždy ano. Zpracování, které zahrnuje jak citlivá data, tak automatizované rozhodování, například, bezpochyby překračuje práh.
Jak zjistím, zda moje firma potřebuje DPIA?
Odpověď závisí na tom, co vaše organizace skutečně dělá s osobními údaji, nikoli na vašem odvětví nebo velikosti společnosti. Každý správce, ať už startup, nemocnice nebo marketingová agentura, musí provést DPIA, pokud jeho zpracování splňuje práh vysokého rizika [5].
Praktický screeningový proces:
- Zmapujte všechny aktuální činnosti zpracování dat
- Aplikujte devět kritérií rizika EDPB na každou činnost
- Zkontrolujte zveřejněný seznam „povinných“ činností vašeho národního dozorového úřadu
- Pro každou činnost, která splňuje dvě nebo více kritérií, zahajte DPIA
- Zdokumentujte rozhodnutí o screeningu, i když DPIA není vyžadováno
Častá chyba: Organizace předpokládají, že protože jsou malé, jsou osvobozeny. Velikost je irelevantní. Dvoučlenný startup provozující nástroj pro nábor založený na AI, který provádí automatizovaná rozhodnutí o uchazečích o zaměstnání, musí provést DPIA.
Co se stane, když neprovedete DPIA, když je vyžadováno?
Neprovedení povinného DPIA je samo o sobě porušením GDPR, nezávisle na tom, zda došlo k jakékékoli skutečné újmě subjektům údajů. Dozorové úřady mohou za toto konkrétní porušení uložit pokuty až do výše 10 milionů eur nebo 2 % celkového ročního obratu [3].
Kromě finančních sankcí zahrnují důsledky:
- Povinné pozastavení činnosti zpracování
- Poškození pověsti z veřejných donucovacích rozhodnutí
- Zvýšená kontrola a auditní povinnosti ze strany dozorového úřadu
- Osobní odpovědnost pro pověřence pro ochranu osobních údajů, kteří neposkytli správné poradenství
Pokud zbytková rizika zůstanou vysoká i po uplatnění zmírňujících opatření, organizace musí před zahájením zpracování konzultovat svůj dozorový úřad. Pokračování bez této konzultace je dalším porušením [3].
DPIA vs. Posouzení dopadu na soukromí: Jaký je rozdíl?
Posouzení dopadu na soukromí (PIA) je širší, dobrovolný rámec osvědčených postupů, který předchází GDPR. DPIA je jeho právně závazný nástupce podle evropského práva na ochranu osobních údajů. Tyto dva pojmy se někdy používají zaměnitelně, ale nesou různé povinnosti.
| Funkce | PIA | DPIA |
|---|---|---|
| Právní základ | Osvědčená praxe | GDPR článek 35 |
| Povinné | Ne | Ano, při vysokém riziku |
| Konzultace s dozorovým úřadem | Nevyžaduje se | Vyžaduje se, pokud je zbytkové riziko vysoké |
| Standardizovaná šablona | Liší se | Šablona EDPB (2026) [1] |
| Povinnost dokumentace | Doporučeno | Právně vyžadováno |
Organizace, které prováděly PIA před vstupem GDPR v platnost, by měly zkontrolovat, zda tato posouzení splňují přísnější standard DPIA.
Požadavky DPIA pro AI a strojové učení
Systémy umělé inteligence, které provádějí nebo významně ovlivňují rozhodnutí o jednotlivcích, téměř vždy vyžadují DPIA. Automatizované rozhodování s právními nebo podobně významnými dopady je jedním ze tří hlavních spouštěčů podle článku 35 GDPR [4].
Akt o umělé inteligenci EU, který plně vstoupil v platnost 2. srpna 2026, zavádí další vrstvu: posouzení dopadu na základní práva (FRIA) pro vysoce rizikové systémy umělé inteligence. Organizace jsou důrazně vybízeny k integraci svých procesů DPIA a FRIA, aby se vyhnuly duplikování úsilí a zajistily komplexní pokrytí rizik ochrany dat i základních práv [2].
Specifické případy použití AI, které vyžadují DPIA, zahrnují:
- Náborové algoritmy, které filtrují nebo řadí kandidáty
- Modely bodování úvěrů a pojištění
- Prediktivní policejní nebo podvodné detekční systémy
- Nástroje pro diagnostiku zdraví nebo doporučení léčby
- Platformy pro behaviorální reklamu využívající odvozené profily
Okrajový případ: I systémy umělé inteligence, které neprovádějí konečná rozhodnutí, ale významně ovlivňují lidské rozhodovatele, mohou spustit požadavek DPIA, pokud je základní zpracování dat rozsáhlé nebo zahrnuje citlivé kategorie.
Potřebují malé podniky provádět DPIA?
Malé a střední podniky nejsou osvobozeny od povinností DPIA. Právním spouštěčem je povaha a úroveň rizika činnosti zpracování, nikoli velikost nebo příjmy organizace [5].
Nicméně mnoho malých podniků se zabývá nízkorizikovým zpracováním, například správou seznamu e-mailů zákazníků, které nevyžaduje DPIA. Povinnost vzniká pouze tehdy, když samotné zpracování překročí práh vysokého rizika.
Zvolte DPIA, pokud vaše malá firma:
- Používá automatizované profilování k personalizaci obsahu nebo cen
- Zpracovává zdravotní, finanční nebo biometrické údaje
- Provozuje platformu, kde jsou pravděpodobnými uživateli děti
- Nasazuje sledovací technologie, které ve velkém měřítku vytvářejí behaviorální profily
Platforma pro správu souhlasu, jako je Biscotti CMP, může malým podnikům pomoci spravovat záznamy o souhlasu a prokazovat odpovědnost, což podporuje širší rámec souladu, do kterého DPIA spadá.
Co by měla obsahovat zpráva DPIA?
Kompletní zpráva DPIA musí obsahovat několik povinných prvků podle článku 35(7) GDPR [3]:
- Systematický popis operací zpracování a jejich účelů, včetně oprávněného zájmu, pokud je to relevantní
- Posouzení nezbytnosti a proporcionality vzhledem k uvedenému účelu
- Posouzení rizik pro práva a svobody subjektů údajů
- Předpokládaná opatření k řešení rizik, včetně záruk, bezpečnostních opatření a mechanismů k zajištění ochrany dat
Standardizovaná šablona EDPB z roku 2026 strukturovala tyto prvky do konzistentního formátu, který uznávají dozorové úřady v celé EU [1]. Její použití snižuje riziko, že DPIA bude při auditu považováno za neúplné.
Další prvky osvědčených postupů zahrnují záznamy o konzultacích s pověřencem pro ochranu osobních údajů, vstupy zúčastněných stran od subjektů údajů nebo jejich zástupců, pokud je to proveditelné, a schválení zbytkového rizika.
Kolik stojí DPIA a můžete si ho udělat sami?
Náklady na DPIA se značně liší v závislosti na složitosti. Jednoduché interní posouzení pro dobře zdokumentovanou činnost zpracování lze dokončit interně během několika dní. Komplexní posouzení zahrnující systémy umělé inteligence, přeshraniční toky dat nebo více správců dat může trvat týdny a může vyžadovat externí právní nebo technické odborné znalosti.
Přibližné cenové rozpětí (odhad na základě tržních norem):
- Interní DPIA pro zpracování s nízkou složitostí: minimální náklady, primárně čas zaměstnanců (8-20 hodin)
- DPIA vedené konzultantem pro střední složitost: typicky 2 000-8 000 eur
- Kompletní právní a technická revize pro vysoce složité systémy umělé inteligence: 10 000 eur nebo více
Organizace s jmenovaným DPO by ho měly zapojit od samého začátku. Role DPO zahrnuje poradenství ohledně toho, zda je DPIA vyžadováno, a přezkoumání dokončeného posouzení [3]. Pro organizace bez interních odborných znalostí je vhodné zapojit specialistu konzultanta pro jakékoli zpracování, které zahrnuje novou technologii nebo citlivé kategorie dat.
Jak často byste měli aktualizovat nebo znovu provádět DPIA?
DPIA není jednorázové cvičení. Je to živý dokument, který musí být revidován vždy, když dojde k podstatné změně v činnosti zpracování, kterou pokrývá [3].
Spouštěče pro revizi nebo úplné opětovné posouzení zahrnují:
- Zavedení nové technologie nebo nového dodavatele v řetězci zpracování
- Rozšíření rozsahu nebo objemu shromažďovaných dat
- Změna účelu zpracování
- Porušení dat nebo téměř porušení, které odhalí dříve neidentifikovaná rizika
- Nové pokyny od dozorového úřadu, které ovlivňují posouzení rizika
- Významné změny v právním nebo regulačním prostředí
Jako základ by organizace měly naplánovat pravidelnou revizi všech DPIA alespoň každé dva až tři roky, a to i v případě absence konkrétních změn. EDPB považuje DPIA za nástroje odpovědnosti, které musí odrážet aktuální realitu, nikoli historické snímky [3].
Kontrola rozhodnutí DPIA
Často kladené otázky
Musí být DPIA dokončeno před zahájením zpracování? Ano. Článek 35 GDPR vyžaduje, aby bylo DPIA provedeno před činností zpracování, nikoli poté, co již začalo. Zahájení vysoce rizikového zpracování bez dokončeného DPIA je samo o sobě porušením [3].
Kdo je odpovědný za provedení DPIA? Právně odpovědný je správce údajů. Pokud byl jmenován pověřenec pro ochranu osobních údajů, musí být během procesu konzultován. Zpracovatelé mohou pomáhat, ale odpovědnost spočívá na správci [3].
Musí být DPIA zveřejněno? Ne. Neexistuje žádný právní požadavek na zveřejnění DPIA. Organizace ho však musí na požádání zpřístupnit svému dozorovému úřadu a obecné závěry mohou být sdíleny se subjekty údajů jako součást povinností transparentnosti.
Co je předchozí konzultace a kdy se uplatňuje? Pokud DPIA dospěje k závěru, že zbytková rizika zůstávají vysoká i po uplatnění všech zmírňujících opatření, správce musí před pokračováním konzultovat svůj dozorový úřad. Úřad má pak až osm týdnů na odpověď [3].
Může jedno DPIA pokrýt více podobných činností zpracování? Ano. EDPB potvrzuje, že jedno DPIA může řešit soubor podobných operací zpracování, které představují srovnatelná vysoká rizika. To je běžné pro organizace provozující více kampaní nebo produktů se stejnou základní datovou architekturou [4].
Platí GDPR, pokud je moje společnost mimo EU? GDPR se vztahuje na jakoukoli organizaci, která zpracovává osobní údaje obyvatel EU, bez ohledu na to, kde se organizace nachází. Společnosti mimo EU, které cílí na uživatele z EU, musí dodržovat povinnosti DPIA stejně jako společnosti se sídlem v EU.
Je DPIA vyžadováno pro stávající činnosti zpracování? DPIA je primárně vyžadováno pro nové zpracování. Pokud se však stávající činnost podstatně změní nebo pokud nikdy nebyla posouzena a nese vysoké riziko, je retrospektivní DPIA důrazně doporučeno a může být vyžadováno dozorovým úřadem [3].
Jakou roli hraje platforma pro správu souhlasu při dodržování DPIA? Platforma pro správu souhlasu, jako je Biscotti CMP, pomáhá organizacím shromažďovat, zaznamenávat a spravovat souhlas uživatelů způsobem, který podporuje požadavky na odpovědnost, které jsou základem dodržování DPIA, zejména pro sledování založené na souborech cookie a činnosti profilování chování.
Závěr
Pochopení, kdy potřebujete DPIA, a provedení průvodce posuzováním vysoce rizikových dat se skutečnou důkladností, je jedním z nejjasnějších ukazatelů zralého programu ochrany dat. Povinnost není byrokratické zaškrtávání políček: je to strukturovaná metoda pro identifikaci škody dříve, než se dostane k subjektům údajů.
Akční další kroky pro rok 2026:
- Zmapujte všechny činnosti zpracování a prověřte každou z nich podle devíti kritérií rizika EDPB [4]
- Stáhněte a použijte standardizovanou šablonu DPIA EDPB, přijatou v dubnu 2026 [1]
- Zkontrolujte zveřejněný seznam povinných činností DPIA vašeho národního dozorového úřadu
- Pro jakékoli nasazení AI nebo strojového učení integrujte své DPIA s procesem FRIA podle aktu o umělé inteligenci EU [2]
- Nastavte si připomenutí v kalendáři pro revizi stávajících DPIA alespoň každé dva roky nebo po jakékoli podstatné změně
- Pokud zbytková rizika zůstanou vysoká i po zmírnění, konzultujte svůj dozorový úřad před pokračováním [3]
- Zajistěte, aby vaše infrastruktura pro správu souhlasu, včetně nástrojů jako Biscotti CMP, podporovala záznamy o odpovědnosti, na kterých závisí váš program DPIA
Organizace, které považují DPIA za živé nástroje odpovědnosti, spíše než za jednorázové úkoly souladu, budou lépe připraveny přizpůsobit se, jak se budou regulační očekávání dále vyvíjet.
Reference
[1] Enhancing Compliance And Consistency Edpb Adopts Dpia Template Et - https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_et?utm_source=openai
[2] Integrating Dpia And Fria Under The Eu Ai Act - https://digital.nemko.com/insights/integrating-dpia-and-fria-under-the-eu-ai-act?utm_source=openai
[3] When Data Protection Impact Assessment Dpia Required En - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en?utm_source=openai
[4] Data Protection Impact Assessment En - https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en?utm_source=openai
[5] Guide Data Protection Impact Assessments - https://www.dataprotection.ie/en/dpc-guidance/guide-data-protection-impact-assessments?utm_source=openai
[6] Data Protection Impact Assessments - https://cy.ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-impact-assessments/?utm_source=openai