DPIA w agencji pracy tymczasowej
Obowiązek przeprowadzania oceny skutków dla ochrony danych (DPIA) aktualizuje się w przypadku prowadzenia procesów przetwarzania danych, które mogą powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Wydaje się, że procesy rekrutacji w agencjach pacy mają na tyle „bezpieczne” podstawy oraz są na tyle utrwalone w praktyce, że ocena skutków ochrony danych nie jest wymogiem bezwzględnym w ogólnym przypadku, o którym mowa w pytaniu. Nie można jednak wykluczyć, iż w konkretnych sytuacjach, uwzględniając skalę działalności agencji oraz stosowane środki techniczne w ramach przetwarzania danych na potrzeby rekrutacji, że przeprowadzenie oceny o której mowa w pytaniu będzie więcej niż zasadne. Nie jest możliwe jednoznaczne ustalenie obowiązku lub jego braku w zakresie dokonania oceny kierując się wyłącznie faktem, iż dany podmiot jest agencją pracy tymczasowej.
Przesłanki przeprowadzenia DPIA
RODO wprowadziło nowy obowiązek przeprowadzenia oceny skutków przetwarzania dla ochrony danych (DPIA, Data Protection Impact Assessment). Nowe regulacje ze względu na brak praktyki oraz nie do końca precyzyjne sformułowania mogą sprawiać trudności administratorom danych w zakresie oceny, czy w danym przypadku ocena skutków przetwarzania danych jest konieczna czy też nie. Z drugiej jednak strony niejasne przepisy „bronią” administratorów danych, którzy opierając się na obowiązujących regulacjach mogą w dobrej wierze dojść do wniosku w sprawie braku konieczności dokonania oceny skutków przetwarzania dla ochrony danych.
W każdym przypadku należy ocenić ryzyko naruszenia
Otóż jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. Dla podobnych operacji przetwarzania danych wiążących się z podobnym wysokim ryzykiem można przeprowadzić pojedynczą ocenę.
DPIA należy przeprowadzić, jeśli dany rodzaj przetwarzania – w szczególności z wykorzystaniem nowych technologii - może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych.
RODO nie zawiera katalogu branż czy podmiotów, w przypadku których przeprowadzenie DPIA jest wymogiem koniecznym. Przepisy wskazują jedynie na szczególne przypadki, w których ocena skutków dla ochrony danych jest wymagana.
Tym samym konkretna agencja pracy, uwzględniając zakres prowadzonej działalności jak również sposoby przetwarzania danych w procesach rekrutacji powinna oszacować czy ocena jest więcej niż wskazana. Biorąc pod uwagę dość ogólny charakter przepisów dotyczących oceny rekomendowanym postępowaniem będzie jej dokonanie. Nie można wykluczyć, że w przyszłości pojawią się na szczeblu krajowym regulacje prawne, które będą pochodną przepisów Rozporządzenia RODO, które w sposób bezpośredni będą wskazywały podmioty czy kategorie podmiotów lub instytucji zobowiązanych do przeprowadzenia oceny skutków przetwarzania danych.
- Czy agencja rekrutacyjna może żądać zaświadczenia o niekaralności
- Wdrożenie aplikacji Outlook i Teams – czy konieczna DPIA (ocena skutków dla ochrony danych)
- Obsługa kadrowa – czy wymaga oceny skutków dla ochrony danych (DPIA)
- Zgłoszenie danych wrażliwych do Urzędu Ochrony Danych Osobowych – czy konieczne
- Praca zdalna w rejestrze czynności przetwarzania danych
- DPIA to także obowiązek podmiotu przetwarzającego
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
