Uprzednie konsultacje z UODO — art. 36 RODO i wysokie ryzyko mimo DPIA

Stan prawny: 17 października 2026 r. Analiza WILIŃSKI LEGAL dotycząca ochrony danych.

Odpowiedź w skrócie

Jeżeli ocena skutków dla ochrony danych wskazuje, że mimo planowanych środków przetwarzanie powodowałoby wysokie ryzyko, administrator ma obowiązek skonsultować się z organem nadzorczym przed rozpoczęciem przetwarzania. Art. 36 nie ustanawia ogólnego obowiązku konsultowania każdego projektu IT.

DPIA jest punktem wyjścia

Art. 35 RODO przewiduje ocenę skutków, gdy określone operacje mogą powodować wysokie ryzyko dla praw i wolności osób. Dopiero wynik tej oceny stanowi podstawę do rozważenia uprzednich konsultacji z art. 36. Nie każdy projekt informatyczny, nawet obejmujący dane osobowe, automatycznie wymaga formalnej DPIA albo kontaktu z UODO. Administrator powinien ustalić, jaka technologia jest używana, czy obejmuje dane szczególnej kategorii i jakie są prawdopodobne skutki naruszenia.

Ryzyko rezydualne

Podstawową przesłanką konsultacji jest utrzymywanie się wysokiego ryzyka mimo przyjętych środków ochrony. Nie wystarczy sporządzenie tabeli zagrożeń i mechaniczne przypisanie każdemu ryzyku koloru czerwonego. Trzeba ocenić skuteczność zabezpieczeń technicznych i organizacyjnych oraz ryzyko pozostające po ich zastosowaniu. Jeśli można je odpowiednio zmniejszyć przed uruchomieniem systemu, ocena powinna uwzględniać rezultat tych działań. Konsultacja nie zastępuje obowiązku samodzielnego ograniczania ryzyka.

Co przekazać organowi

Art. 36 określa katalog informacji udostępnianych organowi nadzorczemu, m.in. o rolach podmiotów uczestniczących w przetwarzaniu, celach i sposobach, środkach zabezpieczenia oraz ocenie skutków. Administrator musi przedstawić rzeczywistą architekturę i procedury, nie jedynie zapewnienie dostawcy, że jego produkt jest bezpieczny. W razie potrzeby organ może żądać dodatkowych informacji. Warto zadbać o spójność dokumentów technicznych i prawnych już przed rozpoczęciem konsultacji.

Przed rozpoczęciem przetwarzania

Uprzednie konsultacje mają sens przed uruchomieniem ryzykownego procesu, ponieważ umożliwiają reakcję na zagrożenie zanim dane zostaną wykorzystane. Nie powinno się wdrażać systemu w całości, a następnie przedstawiać wniosku jako konsultacji uprzedniej. W projekcie trzeba uwzględnić możliwy czas korespondencji i potrzebę zmian zabezpieczeń. Nie oznacza to, że organ każdorazowo wydaje administracyjne pozwolenie na każdy system wykorzystujący dane.

Terminy i stanowisko organu

Art. 36 przewiduje określone ramy czasu działania organu nadzorczego, z możliwością przedłużeń i zawieszeń w przewidzianych sytuacjach. Należy sprawdzić, czy przedstawiono komplet informacji i czy dalsze pytania wpływają na przebieg procedury. Stanowisko organu może obejmować pisemne zalecenia oraz zastosowanie przysługujących mu uprawnień. Nie powinno się traktować braku natychmiastowej odpowiedzi jako nieograniczonego potwierdzenia zgodności planowanego procesu.

Kontekst AI i profilowania

System oceniania osób przy użyciu złożonej analityki może wywoływać wysokie ryzyko zwłaszcza w obszarze zatrudnienia, zdrowia czy usług finansowych. Trzeba jednak odróżnić obowiązki RODO od niezależnych reżimów dotyczących AI lub produktów regulowanych. DPIA, ocena wpływu na prawa podstawowe i ocena zgodności AI nie są automatycznie tym samym dokumentem. Dobrą praktyką jest powiązanie analiz ryzyka przy zachowaniu własnych wymogów każdej regulacji.

Przykład

Podmiot planuje uruchomić system analizujący dane zdrowotne na dużą skalę w celu profilowania i automatycznego klasyfikowania użytkowników. Przeprowadza DPIA, ale po wdrożeniu środków nadal identyfikuje wysokie ryzyko dla praw i wolności osób. Musi ocenić obowiązek konsultacji z właściwym organem nadzorczym przed uruchomieniem systemu. Wniosek powinien zawierać rzetelną ocenę skutków i opis zastosowanych zabezpieczeń.

Przejrzystość i dokumentacja decyzji

Administrator powinien umieć wykazać nie tylko to, że posiada politykę prywatności, ale również że rozpoznał własny cel przetwarzania i prawidłową podstawę ustawową. Każde odstępstwo od zasady wymaga udokumentowania konkretnych przesłanek. Warto określić osoby odpowiedzialne, terminy, źródła danych i procedury współpracy z podmiotami przetwarzającymi. Dla kontroli znaczenie mają faktycznie wdrożone mechanizmy, a nie same nazwy polityk i deklaracje marketingowe.

Skutki dla osoby, której dotyczą dane

Prawo do informacji i odpowiednio zorganizowane przetwarzanie mają umożliwiać osobie zrozumienie, jak jej dane są wykorzystywane. Jeśli administrator nie potrafi wyjaśnić tego procesu, utrudnia także późniejsze wykonywanie prawa dostępu, sprostowania, sprzeciwu lub usunięcia. Należy stosować język zrozumiały dla odbiorcy, a przy szczególnie złożonym systemie rozważyć warstwową strukturę komunikatów. Odrębnie ocenia się zagadnienia związane z dziećmi i osobami wymagającymi szczególnej ochrony.

Kontrargumenty i kontrola organu

W sporze podmiot może powoływać się na przepisy szczególne, interes publiczny albo wyjątki dotyczące określonego przetwarzania. Nie każda taka deklaracja jest jednak wystarczająca. Trzeba zidentyfikować konkretną normę i wskazać, w jakim zakresie ogranicza ona zwykłe obowiązki. Organ nadzorczy powinien otrzymać materiał umożliwiający ocenę ryzyka, a nie tylko oświadczenie o dobrej wierze. Nie można też automatycznie utożsamiać formalnego braku dokumentu z wystąpieniem każdej możliwej szkody.

Konkluzja

Właściwe stosowanie RODO wymaga odrębnego rozpoznania obowiązków informacyjnych, reguł organizacyjnych i mechanizmów kontroli ryzyka. Każdy przepis ma własne przesłanki, terminy i wyjątki. Najbezpieczniejszy model zakłada mapowanie procesów przed zbieraniem danych, dokumentowanie decyzji oraz okresowe sprawdzanie, czy rzeczywista działalność nadal odpowiada przyjętym założeniom. W przypadku zmian technologicznych należy zaktualizować ocenę, zamiast zakładać, że raz przygotowana klauzula pozostanie zawsze aktualna.

Wysokie ryzyko po zastosowaniu zabezpieczeń

Uprzednia konsultacja jest instrumentem dla sytuacji, w których planowane przetwarzanie nadal wiązałoby się z wysokim ryzykiem, pomimo zastosowanych środków redukujących zagrożenia. Przed złożeniem dokumentów do UODO administrator powinien ocenić, czy można zastosować dodatkową minimalizację danych, silniejsze uwierzytelnianie, rozdzielenie uprawnień albo zmianę algorytmu. Dopiero wynik udokumentowanej analizy pozwala ustalić ryzyko rezydualne. Nie wystarczy samo oznaczenie procesu jako „innowacyjnego” ani mechaniczne użycie gotowej macierzy kolorów. Trzeba opisać realne negatywne skutki dla osób, prawdopodobieństwo ich wystąpienia i skuteczność planowanych zabezpieczeń.

Plan projektu uwzględniający stanowisko organu

Rozpoczęcie ryzykownego przetwarzania przed zakończeniem właściwej konsultacji może podważyć jej sens. Harmonogram powinien uwzględniać czas na przekazanie dokumentacji i udzielenie odpowiedzi na żądania organu. Nie należy traktować braku natychmiastowego pisma jako bezterminowego pozwolenia na każdy wariant systemu. Jeżeli projekt zostanie istotnie zmieniony, warto przeanalizować potrzebę aktualizacji DPIA i informacji przekazanych nadzorcy. Odrębnie należy zbadać regulacje szczególne, jeśli przetwarzanie dotyczy wyrobów medycznych, finansów lub zastosowań sztucznej inteligencji. Jeden dokument zgodności nie zastępuje wszystkich obowiązków prawnych.

Współpraca z dostawcą technologii

Administrator korzystający z zewnętrznego systemu powinien otrzymać od dostawcy wystarczający opis operacji na danych, architektury bezpieczeństwa, podwykonawców i możliwości kontroli. Bez tych informacji trudno prawidłowo ocenić ryzyko i przygotować pełną konsultację. Sama gwarancja marketingowa o „certyfikowanej zgodności” nie przesądza, że konkretna konfiguracja systemu spełnia wymagania prawne. Należy sprawdzić scenariusze błędnych decyzji, nieuprawnionego dostępu i utraty integralności danych. Dobrą praktyką jest test na etapie przedprodukcyjnym oraz dokumentowanie wniosków z oceny i decyzji zarządczych.

Lista kontrolna

1. Ustal rolę administratora i konkretny cel.
2. Wskaż podstawę i zakres przetwarzania.
3. Sprawdź przesłanki, terminy i wyjątki.
4. Dokumentuj działania i stosowne zabezpieczenia.
5. Zadbaj o rzetelną komunikację z osobami i organami.

Źródło pierwotne

Rozporządzenie (UE) 2016/679, art. 36 i przepisy powiązane, EUR-Lex — tekst RODO.

Opracowanie informacyjne; nie stanowi porady w indywidualnej sprawie.