Czy jednostka samorządu terytorialnego może zrezygnować z DPIA

W myśl art. 35 ust. 10 RODO regulacje dotyczące oceny skutków dla ochrony danych nie mają zastosowania, jeżeli przetwarzanie na mocy art. 6 ust. 1 lit. c) lub e) ma podstawę prawną w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator, i prawo takie reguluje daną operację przetwarzania lub zestaw operacji, a oceny skutków dla ochrony danych dokonano już w ramach oceny skutków regulacji w związku z przyjęciem tej podstawy prawnej – chyba że państwa członkowskie uznają za niezbędne, by przed podjęciem czynności przetwarzania dokonać oceny skutków dla ochrony danych.

W przypadku podmiotów publicznych w tym jednostek samorządu terytorialnego należy ocenić zwłaszcza ostatnią przesłankę.

Jak wskazuje się w literaturze brak jest jakichkolwiek kryteriów dokonywania tej oceny tj. wskazania jakie wymagania progowe dana legislacja musiałaby spełnić, aby można było uznać, że ocena skutków dla ochrony danych w rozumieniu art. 35 RODO została w jej ramach dokonana. Nie sposób także uznać, że omawiana przesłanka została spełniona (tj. że przeprowadzono ocenę skutków dla ochrony danych w ramach oceny skutków regulacji) w przypadku przepisów, które obowiązywały na długo przed wejściem w życie i obowiązywaniem RODO. Tym samym należy uznać, że w przypadku przepisów, które weszły w życie przed RODO, zastosowanie wyjątku w zakresie DPIA jest niemożliwe.