DPIA Lite: zjednodušený proces identifikace rizik při spouštění nových projektů

Co je „DPIA lite“ a kdy ho použít

DPIA (Data Protection Impact Assessment) je posouzení vlivu na ochranu osobních údajů. „DPIA lite“ je zjednodušená verze pro menší nebo nízkorizikové projekty, která zachovává podstatu (identifikaci zpracování, rizik a opatření), ale omezuje hloubku a rozsah. Cílem je rozhodnout, zda: (1) postačí zjednodušené posouzení, (2) je třeba plnohodnotná DPIA, nebo (3) postačí standardní dokumentace (záznamy o činnostech zpracování, základní analýza rizik).

Rozhodovací strom: potřebujeme DPIA, DPIA lite, nebo nic navíc?

Definujte zpracování: účel, kategorie údajů, subjekty údajů, objem, doba trvání.
Zkontrolujte spouštěče vysokého rizika: systematické monitorování, profilování, citlivé údaje, zranitelné osoby, rozsáhlé škálování, nové technologie.
Pokud je spouštěč přítomen: plná DPIA; pokud přítomen není, ale existují nejasnosti nebo střední riziko → DPIA lite.
Pokud je riziko nízké a zpracování standardní: postačí záznam + základní kontrolní otázky (minichecklist).

Hranice zjednodušeného posouzení: co zkrátit a co nikdy nevynechat

Zkrátit: podrobnosti modelu hrozeb, rozsah testování scénářů, formální hodnocení dopadů.
Ponechat jako povinné: popis zpracování, právní základ, proporcionalitu/nezbytnost, rizika pro práva osob, přiměřená opatření, záznam rozhodnutí a vlastníka rizika.

Role a odpovědnosti

Product/Project Owner: poskytuje informace o účelech a rozsahu, garantuje implementaci opatření.
Privacy/Legal (DPO, pokud je určen): řídí proces, doporučuje opatření, posuzuje potřebu plné DPIA.
Security/IT: navrhuje technická a organizační opatření (TOO), hodnotí hrozby.
Vendor management: prověřuje zpracovatele, smlouvy a předávání údajů.
Business stakeholder: posuzuje dopady na uživatele a reputaci.

Šablona „DPIA lite“: doporučený obsah

Stručný popis projektu: cíle, časový rámec, zainteresované strany, systémy.
Mapování datových toků: zdroj → zpracování → úložiště → příjemci → doba uchovávání → likvidace.
Právní základ a účelové omezení: smlouva, zákonná povinnost, oprávněný zájem (včetně LIA – testu proporcionality), souhlas.
Minimalizace a datová hygiena: která pole jsou nezbytná, pseudonymizace/anonymizace, nastavení výchozího soukromí.
Subjekty údajů a zvláštní kategorie údajů: dospělí vs. nezletilí, zaměstnanci vs. klienti, citlivé údaje (zdravotní údaje, biometrické údaje).
Rizika pro práva a svobody: identifikace (důvěrnost, integrita, dostupnost, nespravedlivý dopad, diskriminace).
Opatření (TOO): technická (šifrování, přístup, audit), organizační (politiky, školení), smluvní (DPA, SCC).
Zbytkové riziko a rozhodnutí: nízké/střední/vysoké; pokud je vysoké → eskalace na plnou DPIA.
Plán revizí: spouštěče aktualizace (změna účelu, incident, rozšíření rozsahu).

Mapování datových toků (lite)

Vizualizace nemusí mít podobu CAD diagramu. Postačí tabulka:

Zdroj: webový formulář, CRM, třetí strana.
Zpracování: validace, skórování, profilování, automatizované rozhodování (uvést).
Úložiště: datové centrum/EU vs. mimo EU, typ databáze, šifrování uložených dat.
Příjemce: interní týmy, zpracovatelé, další zpracovatelé, veřejné orgány.
Doba uchovávání: konkrétní lhůta + důvod (právní, obchodní), automatické mazání.
Likvidace: metoda zničení/anonymizace, potvrzení od zpracovatele.

Rychlé hodnocení rizik (zjednodušená matice)

Jednoduchá matice 3×3 bez složitých kvantifikací:

Pravděpodobnost: nízká / střední / vysoká.
Dopad na práva osob: obtěžování → finanční škoda → nevratné následky (stigmatizace, diskriminace).
Zaznamenejte stav před opatřeními a po opatřeních; pokud zůstává „vysoké“, je nutná plná DPIA.

Principy privacy by design a default (v režimu lite)

Minimalizace údajů: vyřaďte pole bez přímého přínosu pro daný účel.
Pseudonymizace: nahraďte identifikátory klíčem; mapu klíčů uchovávejte odděleně.
Oddělení účelů: analytika vs. marketing vs. hlavní služba – vlastní úložiště/účely.
Výchozí soukromí: kde je to možné, použijte opt-in; sdílení/telemetrii ve výchozím nastavení vypněte.

Technická a organizační opatření (TOO) – přehled k „odškrtnutí“

Přístup a identita: SSO, MFA, princip nejnižších oprávnění, oddělení rolí, časově omezené přístupy.
Šifrování: TLS při přenosu, AES při ukládání, správa klíčů (HSM/KMS), rotace.
Protokolování a audit: nepopiratelnost, integrita protokolů, detekce anomálií.
DLP a klasifikace: označování souborů, pravidla proti exfiltraci, blokování veřejných odkazů.
Životní cyklus: automatické uchovávání po stanovenou dobu, bezpečná likvidace, „nástroj pro anonymizaci testovacích dat“ (syntetická data).
Bezpečný vývoj: hrozby evidované v backlogu, bezpečnostní testy (SAST/DAST), skenování tajných údajů.

Právní základ a test proporcionality (zjednodušené LIA)

Účel: legitimní a jasně definovaný.
Nezbytnost: je zpracování nejméně invazivním prostředkem k dosažení účelu?
Vyvážení: přiměřená očekávání subjektů údajů, dopady, právo vznést námitku.
Ochranná opatření: pseudonymizace, podrobné nastavení přístupů, transparentnost.

Dodavatelé a předávání údajů

DPA (zpracovatelská smlouva): rozsah, účel, další zpracovatelé, práva na audit.
Místo zpracování: EU/EHP vs. třetí země; posouzení předávání, doplňková opatření.
Bezpečnostní otázky: certifikace, proces řešení incidentů, uchovávání a výmaz po ukončení služby.

Transparentnost a práva subjektů údajů

Informování: stručná oznámení při sběru údajů, vícevrstvé informace o ochraně soukromí.
Volby uživatele: snadno dostupné možnosti opt-out/správy souhlasů, nastavení soukromí.
Práva (DSAR): přístup, oprava, výmaz, přenositelnost, omezení; lhůty a odpovědnosti.

Kdy zjednodušené posouzení nestačí: kritéria eskalace

Automatizované rozhodování s právními nebo obdobně významnými účinky nebo pokročilé profilování.
Zvláštní kategorie údajů ve velkém rozsahu, zranitelné osoby, systematické monitorování.
Nová technologie bez předchozí praxe a s nejistými dopady.
Zbytkové riziko zůstává vysoké i přes zavedená opatření.

Praktický proces „lite“ v 7 krocích

Sběr vstupních informací (1–2 strany): účel, údaje, toky, příjemci, doba uchovávání.
Určení právního základu a LIA (pokud je třeba).
Identifikace rizik (3–5 hlavních scénářů) a rychlé hodnocení.
Návrh opatření (TOO) s termíny a vlastníky.
Vyhodnocení zbytkového rizika a rozhodnutí (lite vs. plná DPIA).
Zaznamenání do centrálního registru posouzení.
Naplánování revize (např. po pilotním provozu nebo při rozšíření).

Časté chyby a jak se jim vyhnout

„Formulář pro formulář“: šablona bez skutečných opatření; vždy určete vlastníka a termín.
Ignorování doby uchovávání: stanovte konkrétní lhůty a automatizujte mazání.
Nejasný účel: spojování marketingu, analytiky a hlavní služby do jediného zpracování.
Obecná přístupová oprávnění: nerozlišování rolí (zobrazení/komentování/úpravy), chybí princip nejnižších oprávnění.
Dodavatel jako „černá skříňka“: bez DPA, bez informací o dalších zpracovatelích a umístění dat.

Miniartefakty, které urychlí cyklus „lite“

Jednostránkový Data Flow Canvas: tabulka zdrojů–účelů–úložišť–příjemců–doby uchovávání.
Kontrolní seznam TOO: 10–15 kontrol (MFA, šifrování, protokolování, doba uchovávání, přístupy).
Stručný formulář LIA: účel, nezbytnost, očekávání, opatření a závěr.
Registr zjednodušených posouzení: identifikátor projektu, datum, rozhodnutí, další kroky.

Revize a spouštěče opakovaného posouzení

Změna účelu nebo rozšíření kategorií údajů.
Nasazení nové funkcionality (např. profilování pomocí AI).
Incident nebo zjištěné porušení (bezpečnosti/ochrany soukromí).
Změna dodavatele nebo místa zpracování.

Měření vyspělosti „DPIA lite“ v organizaci

KPI: podíl projektů pokrytých posouzením, doba od zahájení po rozhodnutí, % včas implementovaných opatření.
Kvalita: počet zjištění při auditu, míra zbytkového rizika, počet přepracování na plnou DPIA.
Kultura: míra proaktivních konzultací před návrhem („shift left privacy“).

Vzorový kontrolní seznam „DPIA lite“ (rychlá kontrola)

Účel je definován, právní základ je jasný (včetně LIA, pokud je relevantní).
Údaje jsou minimalizovány; citlivá pole jsou odůvodněna nebo odstraněna.
Jsou zmapovány toky, příjemci, místo zpracování a doba uchovávání.
TOO: MFA, šifrování, přístupová práva, protokolování, DLP, automatické mazání.
Dodavatel: DPA je podepsána, další zpracovatelé jsou známi, předávání údajů je posouzeno.
Transparentnost: informace/souhlas, mechanismy pro uplatnění práv, kontaktní místo.
Zbytkové riziko je nízké/střední; pokud je vysoké → plná DPIA.
Jsou určeni vlastníci opatření a stanoveny termíny; plán revize je nastaven.

Shrnutí: pragmatické posouzení bez byrokracie

DPIA lite umožňuje rychle a systematicky ověřit, zda projekt zpracovává osobní údaje přiměřeně danému účelu, s minimem údajů a s přiměřenými opatřeními. Namísto dlouhých dokumentů klade důraz na jasný účel, mapu toků, přiměřené kontroly, prověření dodavatele a rozumné revize. Když riziko vzroste nebo se objeví spouštěče (profilování, nové technologie, citlivé kategorie), proces se plynule převede na plnohodnotnou DPIA – přičemž práce ze zjednodušené verze se z velké části využije.