Rýchla odpoveď: Hodnotenie vplyvu na ochranu údajov (DPIA) je právne požadované podľa článku 35 GDPR vždy, keď je spracovateľská činnosť pravdepodobne spojená s vysokým rizikom pre práva a slobody jednotlivcov. To sa vzťahuje na činnosti ako je rozsiahle profilovanie, systematické monitorovanie verejných priestorov a spracovanie špeciálnych kategórií údajov. Nedodržanie tejto povinnosti môže vystaviť vašu organizáciu významným regulačným sankciám a poškodeniu reputácie.
Kľúčové poznatky
- DPIA je povinná podľa článku 35 GDPR pre spracovateľské činnosti, ktoré sú „pravdepodobne spojené s vysokým rizikom“ pre práva a slobody jednotlivcov [3]
- Tri typy spracovania vždy vyžadujú DPIA: systematické hodnotenie jednotlivcov, rozsiahle spracovanie citlivých údajov a systematické monitorovanie verejne prístupných oblastí [3]
- Národné úrady na ochranu údajov zverejňujú zoznamy spracovateľských operácií, ktoré vyžadujú DPIA, poskytujúc usmernenia špecifické pre jurisdikciu [3]
- Vynechanie povinnej DPIA môže viesť k pokutám až do výšky 10 miliónov eur alebo 2% celkového ročného obratu podľa GDPR
- EDPB prijal štandardizovanú šablónu DPIA v apríli 2026 na zlepšenie konzistencie naprieč členskými štátmi EÚ [1]
- Systémy AI a modely strojového učenia, ktoré robia automatizované rozhodnutia s významnými účinkami na jednotlivcov, takmer vždy vyžadujú DPIA [2]
- Malé podniky nie sú automaticky oslobodené; spúšťacím faktorom je povaha spracovania, nie veľkosť organizácie [5]
- DPIA je živý dokument, ktorý musí byť preskúmaný a aktualizovaný vždy, keď sa spracovateľské činnosti podstatne zmenia [3]
- Ak zostanú reziduálne riziká vysoké aj po zmiernení, organizácie musia konzultovať svoj dozorový orgán pred pokračovaním [3]
- DPIA sa líši od hodnotenia vplyvu na súkromie (PIA) predovšetkým v právnom základe a povinných konzultačných záväzkoch
Čo je DPIA a prečo ho potrebujete?
Hodnotenie vplyvu na ochranu údajov je štruktúrovaný proces, ktorý pomáha organizáciám identifikovať, hodnotiť a zmierniť riziká pre jednotlivcov vyplývajúce zo spracovateľských činností. Podľa GDPR to nie je voliteľné usmernenie, je to právna povinnosť pre vysokorizikové spracovanie [3].
Hlavným účelom DPIA je zodpovednosť. Núti organizácie systematicky premýšľať o tom, aké údaje zbierajú, prečo ich zbierajú, kto má prístup a čo by sa mohlo pokaziť. Írska komisia pre ochranu údajov to opisuje ako nástroj, ktorý preukazuje, že organizácia zohľadnila riziká ochrany súkromia pred začatím spracovania, nie až po vzniku porušenia [5].
DPIA typicky pokrýva:
- Opis spracovania a jeho účelov
- Hodnotenie nevyhnutnosti a proporcionality
- Vyhodnotenie rizík pre subjekty údajov
- Opatrenia plánované na riešenie týchto rizík
EDPB prijal štandardizovanú šablónu DPIA v apríli 2026, aby pomohol organizáciám štruktúrovať tento proces konzistentne naprieč EÚ [1].
Kedy je DPIA požadovaná podľa GDPR?
Článok 35 GDPR vyžaduje DPIA pred akýmkoľvek spracovaním, ktoré je „pravdepodobne spojené s vysokým rizikom“ pre práva a slobody fyzických osôb [3]. Tri konkrétne scenáre vždy spúšťajú túto povinnosť:
- Systematické a rozsiahle profilovanie s významnými účinkami, vrátane automatizovaného rozhodovania
- Rozsiahle spracovanie špeciálnych kategórií údajov (zdravie, biometrické údaje, rasový pôvod atď.) alebo osobných údajov týkajúcich sa trestných odsúdení
- Systematické monitorovanie verejne prístupných oblastí na veľkej škále
Nad rámec týchto troch národné dozorné orgány zverejňujú zoznamy spracovateľských operácií, ktoré vyžadujú DPIA vo svojej jurisdikcii. Organizácie pôsobiace v niekoľkých členských štátoch EÚ by mali skontrolovať každý relevantný národný zoznam.
Pravidlo rozhodovania: Ak vaše spracovanie spĺňa dve alebo viac z deviatich rizikových kritérií EDPB (nová technológia, veľký rozsah, citlivé údaje, systematické monitorovanie, zlučovanie alebo kombinovanie súborov údajov, zraniteľné subjekty údajov, inovatívne použitie, riziko odmietnutia služby alebo automatizované rozhodovanie), DPIA je takmer určite požadovaná [4].
Čo sa považuje za vysokorizikové spracovanie údajov?
Vysokorizikové spracovanie je definované povahou, rozsahom, kontextom a účelom činnosti, nie len objemom spracovávaných údajov. EDPB poskytuje usmernenia identifikujúce konkrétne charakteristiky, ktoré zvyšujú spracovanie na vysokorizikovú úroveň [4].
Kľúčové indikátory zahŕňajú:
| Indikátor rizika | Príklad |
|---|---|
| Automatizované rozhodovanie | Kreditné skórovanie, modely rizika poistenia |
| Citlivé kategórie údajov | Zdravotné záznamy, biometrická autentifikácia |
| Rozsiahle spracovanie | Národné databázy vernostných programov |
| Monitorovanie verejných oblastí | CCTV s rozpoznávaním tváre |
| Zlučovanie alebo kombinovanie údajov | Krížové porovnávanie sociálnych médií s históriou nákupov |
| Zraniteľné subjekty údajov | Deti, pacienti, zamestnanci |
| Nová alebo neoverená technológia | Generatívna AI, nástroje na detekciu emócií |
Jeden indikátor automaticky nevyžaduje DPIA, ale dva alebo viac v kombinácii takmer vždy áno. Spracovanie, ktoré zahŕňa citlivé údaje a automatizované rozhodovanie, napríklad, bez otázok prekračuje prah.
Ako zistím, či moja firma potrebuje DPIA?
Odpoveď závisí od toho, čo vaša organizácia skutočne robí s osobnými údajmi, nie od vášho odvetvia alebo veľkosti spoločnosti. Akýkoľvek prevádzkovateľ, či už startup, nemocnica alebo marketingová agentúra, musí vykonať DPIA, ak ich spracovanie spĺňa vysokorizikový prah [5].
Praktický screeningový proces:
- Zmapujte všetky aktuálne spracovateľské činnosti
- Aplikujte deväť rizikových kritérií EDPB na každú činnosť
- Skontrolujte zverejnený „zoznam povinností“ vašej národnej dozorné orgánu
- Pre akúkoľvek činnosť, ktorá dosiahne dve alebo viac kritérií, iniciujte DPIA
- Dokumentujte rozhodnutie o screeningu aj v prípade, že DPIA nie je požadovaná
Bežná chyba: Organizácie predpokladajú, že pretože sú malé, sú oslobodené. Veľkosť nie je relevantná. Dvojčlenný startup, ktorý prevádzkuje nástroj na nábor založený na AI, ktorý robí automatizované rozhodnutia o uchádzačoch o zamestnanie, musí vykonať DPIA.
Čo sa stane, ak nevykonáte DPIA, keď je to potrebné?
Nedodržanie povinnej DPIA je samo o sebe porušením GDPR, nezávisle od toho, či dôjde k akémukoľvek skutočnému poškodeniu subjektov údajov. Dozorové orgány môžu uložiť pokuty až do výšky 10 miliónov eur alebo 2% celkového ročného obratu za toto konkrétne porušenie [3].
Okrem finančných sankcií zahŕňajú dôsledky:
- Povinné pozastavenie spracovateľskej činnosti
- Poškodenie reputácie z verejných rozhodnutí o vynucovaní
- Zvýšená kontrola a povinnosti auditu od dozorného orgánu
- Osobná zodpovednosť pre úradníkov na ochranu údajov, ktorí nesprávne poradili
Ak zostanú reziduálne riziká vysoké aj po aplikácii zmierňujúcich opatrení, organizácie musia konzultovať svoj dozorový orgán pred začatím spracovania. Pokračovanie bez tejto konzultácie je ďalším porušením [3].
DPIA vs. hodnotenie vplyvu na súkromie: Aký je rozdiel?
Hodnotenie vplyvu na súkromie (PIA) je širší, dobrovoľný rámec najlepších praktík, ktorý predchádza GDPR. DPIA je jeho právne požadované pokračovanie podľa právnych predpisov EÚ o ochrane údajov. Tieto dva pojmy sa niekedy používajú zameniteľne, ale nesú rôzne povinnosti.
| Funkcia | PIA | DPIA |
|---|---|---|
| Právny základ | Najlepšia prax | Článok 35 GDPR |
| Povinné | Nie | Áno, pri vysokom riziku |
| Konzultácia s dozorným orgánom | Nie je požadovaná | Požadovaná, ak je reziduálne riziko vysoké |
| Štandardizovaná šablóna | Rôzne | Šablóna EDPB (2026) [1] |
| Povinnosť dokumentácie | Odporúčaná | Právne požadovaná |
Organizácie, ktoré vykonali PIA pred vstupom GDPR do platnosti, by mali preskúmať, či tieto hodnotenia spĺňajú prísnejšie štandardy DPIA.
Požiadavky DPIA pre AI a strojové učenie
Systémy AI, ktoré robia alebo významne ovplyvňujú rozhodnutia o jednotlivcoch, takmer vždy vyžadujú DPIA. Automatizované rozhodovanie s právnymi alebo podobne významnými účinkami je jedným z troch základných spúšťačov podľa článku 35 GDPR [4].
Nariadenie EÚ o AI, ktoré nadobudlo účinnosť 2. augusta 2026, zavádza ďalšiu vrstvu: hodnotenie vplyvu na základné práva (FRIA) pre vysokorizikové systémy AI. Organizácie sú silne povzbudzované, aby integrovali svoje procesy DPIA a FRIA, aby sa vyhli duplicite úsilia a zabezpečili komplexné pokrytie rizík ochrany údajov a základných práv [2].
Konkrétne prípady použitia AI, ktoré vyžadujú DPIA, zahŕňajú:
- Algoritmy náboru, ktoré filtrujú alebo hodnotia kandidátov
- Modely kreditného a poistného skórovania
- Prediktívne policajné alebo systémy detekcie podvodov
- Nástroje na diagnostiku zdravia alebo odporúčanie liečby
- Platformy behaviorálnej reklamy používajúce odvodené profily
Okrajový prípad: Aj systémy AI, ktoré nerobia konečné rozhodnutia, ale významne ovplyvňujú ľudských rozhodovateľov, môžu spustiť požiadavku na DPIA, ak spracovanie údajov je rozsiahle alebo zahŕňa citlivé kategórie.
Musia malé podniky vykonávať DPIA?
Malé a stredné podniky nie sú oslobodené od povinností DPIA. Právny spúšťač je povaha a úroveň rizika spracovateľskej činnosti, nie veľkosť alebo príjem organizácie [5].
To povedané, mnohé malé podniky sa zapájajú do nízkorizikového spracovania, napríklad spravovanie zoznamu e-mailov zákazníkov, ktoré nevyžaduje DPIA. Povinnosť vzniká len vtedy, keď spracovanie samo prekročí vysokorizikový prah.
Vyberte si DPIA, ak váš malý podnik:
- Používa automatizované profilovanie na personalizáciu obsahu alebo cien
- Spracováva zdravotné, finančné alebo biometrické údaje
- Prevádzkuje platformu, kde sú pravdepodobnými používateľmi deti
- Nasadzuje sledovacie technológie, ktoré vytvárajú behaviorálne profily vo veľkom meradle
Platforma na správu súhlasov, ako je Biscotti CMP, môže pomôcť malým podnikom spravovať záznamy o súhlase a preukázať zodpovednosť, čo podporuje širší rámec súladu, v ktorom DPIA existuje.
Čo by malo byť zahrnuté v správe DPIA?
Úplná správa DPIA musí obsahovať niekoľko povinných prvkov podľa článku 35(7) GDPR [3]:
- Systematický popis spracovateľských operácií a ich účelov, vrátane legitímneho záujmu, ak je to relevantné
- Hodnotenie nevyhnutnosti a proporcionality vzhľadom na uvedený účel
- Hodnotenie rizík pre práva a slobody subjektov údajov
- Opatrenia plánované na riešenie rizík, vrátane ochranných opatrení, bezpečnostných opatrení a mechanizmov na zabezpečenie ochrany údajov
Štandardizovaná šablóna EDPB z roku 2026 štruktúruje tieto prvky do konzistentného formátu, ktorý uznávajú dozorné orgány naprieč EÚ [1]. Jej použitie znižuje riziko, že DPIA bude považovaná za neúplnú počas auditu.
Ďalšie prvky najlepších praktík zahŕňajú záznamy o konzultáciách s úradníkom na ochranu údajov, vstupy od zainteresovaných strán zo subjektov údajov alebo ich zástupcov, ak je to možné, a schválenie reziduálneho rizika.
Koľko stojí DPIA a môžete ju vykonať sami?
Náklady na DPIA sa veľmi líšia v závislosti od zložitosti. Jednoduché interné hodnotenie pre dobre zdokumentovanú spracovateľskú činnosť môže byť dokončené interne za niekoľko dní. Zložité hodnotenia zahŕňajúce systémy AI, cezhraniové toky údajov alebo viacerých spracovateľov môžu trvať týždne a môžu si vyžadovať externé právne alebo technické odborné znalosti.
Hrubé cenové rozpätia (odhadované na základe trhových noriem):
- Interná DPIA pre spracovanie s nízkou zložitostou: minimálne náklady, predovšetkým čas zamestnancov (8-20 hodín)
- DPIA vedená konzultantom pre strednú zložitost: typicky 2 000-8 000 eur
- Kompletné právne a technické preskúmanie pre systémy AI s vysokou zložitostou: 10 000 eur alebo viac
Organizácie s menovaným DPO by ich mali zapojiť od začiatku. Úloha DPO zahŕňa poradenstvo o tom, či je DPIA potrebná, a preskúmanie dokončeného hodnotenia [3]. Pre organizácie bez interných odborníkov je odporúčané zapojiť špecializovaného konzultanta pre akékoľvek spracovanie, ktoré zahŕňa novú technológiu alebo citlivé kategórie údajov.
Ako často by ste mali aktualizovať alebo opakovať DPIA?
DPIA nie je jednorazová činnosť. Je to živý dokument, ktorý musí byť preskúmaný vždy, keď dôjde k podstatnej zmene spracovateľskej činnosti, ktorú pokrýva [3].
Spúšťače pre preskúmanie alebo úplné zhodnotenie zahŕňajú:
- Zavedenie novej technológie alebo nového dodávateľa v spracovateľskom reťazci
- Rozšírenie rozsahu alebo objemu zhromaždených údajov
- Zmena účelu spracovania
- Porušenie údajov alebo takmer porušenie, ktoré odhalí predtým neidentifikované riziká
- Nové usmernenia od dozorného orgánu, ktoré ovplyvňujú hodnotenie rizika
- Významné zmeny v právnom alebo regulačnom prostredí
Ako základ by organizácie mali naplánovať pravidelné preskúmanie všetkých DPIA aspoň každé dva až tri roky, aj v prípade, že neexistujú konkrétne zmeny. EDPB považuje DPIA za nástroje zodpovednosti, ktoré musia odrážať aktuálnu realitu, nie historické snímky [3].
Kontrolný zoznam rozhodovania o DPIA
Často kladené otázky
Musí byť DPIA dokončená pred začiatkom spracovania?
Áno. Článok 35 GDPR vyžaduje, aby bola DPIA vykonaná pred spracovateľskou činnosťou, nie po jej začatí. Začatie vysokorizikového spracovania bez dokončenej DPIA je samo o sebe porušením [3].
Kto je zodpovedný za vykonanie DPIA?
Zodpovednosť za spracovanie údajov nesie prevádzkovateľ. Ak bol menovaný úradník na ochranu údajov, musí byť počas procesu konzultovaný. Spracovatelia môžu pomôcť, ale zodpovednosť leží na prevádzkovateľovi [3].
Musí byť DPIA zverejnená?
Nie. Neexistuje právny požiadavok na zverejnenie DPIA. Organizácie ju však musia sprístupniť svojmu dozornému orgánu na požiadanie a všeobecné závery môžu byť zdieľané so subjektmi údajov ako súčasť povinností transparentnosti.
Čo je predchádzajúca konzultácia a kedy sa uplatňuje?
Ak DPIA dospeje k záveru, že reziduálne riziká zostávajú vysoké po aplikácii všetkých zmierňujúcich opatrení, prevádzkovateľ musí konzultovať svoj dozorový orgán pred pokračovaním. Orgán má potom až osem týždňov na odpoveď [3].
Môže jedna DPIA pokryť viacero podobných spracovateľských činností?
Áno. EDPB potvrdzuje, že jedna DPIA môže riešiť súbor podobných spracovateľských operácií, ktoré predstavujú porovnateľné vysoké riziká. To je bežné pre organizácie, ktoré prevádzkujú viacero kampaní alebo produktov s rovnakou základnou architektúrou údajov [4].
Platí GDPR, ak je moja spoločnosť mimo EÚ?
GDPR sa vzťahuje na akúkoľvek organizáciu, ktorá spracováva osobné údaje obyvateľov EÚ, bez ohľadu na to, kde je organizácia založená. Ne-európske spoločnosti cielené na používateľov EÚ musia dodržiavať povinnosti DPIA rovnako ako spoločnosti so sídlom v EÚ.
Je DPIA požadovaná pre existujúce spracovateľské činnosti?
DPIA je primárne požadovaná pre nové spracovanie. Avšak, ak sa existujúca činnosť podstatne zmení alebo ak nebola nikdy posúdená a nesie vysoké riziko, retrospektívna DPIA je silne odporúčaná a môže byť požadovaná dozorným orgánom [3].
Akú úlohu zohráva platforma na správu súhlasov v súlade s DPIA?
Platforma na správu súhlasov, ako je Biscotti CMP, pomáha organizáciám zhromažďovať, zaznamenávať a spravovať súhlas používateľov spôsobom, ktorý podporuje požiadavky na zodpovednosť, ktoré sú základom súladu s DPIA, najmä pre aktivity sledovania založené na cookies a behaviorálne profilovanie.
Záver
Pochopenie, kedy potrebujete DPIA, a vykonanie sprievodcu hodnotením vysokorizikových údajov s opravdivou rigoróznosťou je jedným z najjasnejších znakov zrelého programu ochrany údajov. Povinnosť nie je byrokratickým odškrtávaním políčok: je to štruktúrovaná metóda na identifikáciu škody predtým, než dosiahne subjekty údajov.
Akčné kroky pre rok 2026:
- Zmapujte všetky spracovateľské činnosti a skontrolujte každú z nich proti deviatim rizikovým kritériám EDPB [4]
- Stiahnite a použite štandardizovanú šablónu DPIA EDPB, prijatú v apríli 2026 [1]
- Skontrolujte zverejnený zoznam povinných aktivít DPIA vášho národného dozorného orgánu
- Pre akékoľvek nasadenie AI alebo strojového učenia integrujte svoju DPIA s procesom FRIA nariadenia EÚ o AI [2]
- Nastavte si pripomienky v kalendári na preskúmanie existujúcich DPIA aspoň každé dva roky alebo po akejkoľvek podstatnej zmene
- Ak zostanú reziduálne riziká vysoké po zmiernení, konzultujte svoj dozorový orgán pred pokračovaním [3]
- Zabezpečte, aby vaša infraštruktúra na správu súhlasov, vrátane nástrojov ako Biscotti CMP, podporovala záznamy o zodpovednosti, na ktorých závisí váš program DPIA
Organizácie, ktoré považujú DPIA za živé nástroje zodpovednosti, namiesto jednorazových úloh súladu, budú lepšie pripravené prispôsobiť sa, keď sa regulačné očakávania naďalej vyvíjajú.
Odkazy
[1] Zlepšenie súladu a konzistencie EDPB prijal šablónu DPIA - https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_et?utm_source=openai
[2] Integrácia DPIA a FRIA podľa nariadenia EÚ o AI - https://digital.nemko.com/insights/integrating-dpia-and-fria-under-the-eu-ai-act?utm_source=openai
[3] Kedy je potrebné vykonať hodnotenie vplyvu na ochranu údajov (DPIA) - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en?utm_source=openai
[4] Hodnotenie vplyvu na ochranu údajov - https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en?utm_source=openai
[5] Sprievodca hodnotením vplyvu na ochranu údajov - https://www.dataprotection.ie/en/dpc-guidance/guide-data-protection-impact-assessments?utm_source=openai
[6] Hodnotenia vplyvu na ochranu údajov - https://cy.ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-impact-assessments/?utm_source=openai