Kdy je nutná DPIA: praktické rozhodnutí podle článku 35

Otázka kdy je nutná DPIA se neřeší podle velikosti firmy ani názvu technologie. Rozhoduje konkrétní navrhované zpracování a pravděpodobnost vysokého rizika pro práva a svobody ¹. Posouzení se provádí před zahájením operace.

Rozhodnutí vzniká před spuštěním a vztahuje se k přesně vymezené operaci, nikoli k produktu jako celku, takže stejný nástroj může potřebovat jiné posouzení při změně osob, údajů, účelu, rozsahu nebo významu výstupu. Tým proto nejprve kreslí skutečný tok, zaznamenává otevřené otázky a přiřazuje jim vlastníky, místo aby chybějící důkaz četl jako nízké riziko. Výsledek musí vysvětlit nejen použitý test, ale také fakta, která odpověď drží, a protifakt, který ji znovu otevře.

Předběžná kontrola zároveň určí rozhodovací termín, schvalující roli a místo, kde se uloží důkazy, aby posouzení mohlo návrh ještě skutečně změnit.

Stručná odpověď

DPIA je nutná, pokud navrhované zpracování vzhledem k povaze, rozsahu, kontextu a účelům pravděpodobně povede k vysokému riziku. Prověřte tři povinné případy článku 35 ¹, devět kritérií WP248 ² a seznamy příslušného úřadu. Výsledek „ano“ i „ne“ vždy písemně odůvodněte před samotným spuštěním zpracování.

Naposledy aktualizováno: 26. srpna 2026

Začněte pravděpodobným vysokým rizikem

Posuzovaný následek převeďte z obecného označení na scénář se jménem dotčené skupiny, událostí, příčinou, okamžitou újmou a možností nápravy, protože stejné technické selhání může mít pro různé lidi zásadně odlišný dopad. Rozsah neznamená jen počet záznamů, ale také počet osob, trvání, frekvenci, zeměpisný dosah a schopnost spojovat údaje z více kontextů. Tato fakta se ukládají se zdrojem a datem, aby pozdější přezkum poznal, zda se změnila realita nebo pouze slovní popis projektu.

První otázka zní, zda navrhovaná operace může vzhledem k povaze, rozsahu, kontextu a účelům pravděpodobně vést k vysokému riziku ¹. Nová technologie sama odpověď neurčuje. Nástroj nad souhrnnými skladovými údaji má jiný profil než systém hodnotící zaměstnance. Riziko se vztahuje k lidem: k diskriminaci, odmítnutí služby, finanční újmě, ztrátě kontroly nebo zásahu do soukromí.

Vymezte dotčené osoby, údaje, příjemce, rozhodnutí, dobu a datový tok. „Pravděpodobně“ neznamená jistotu, ale vyžaduje rozumně předvídat následek ¹. DPIA má návrh ovlivnit před zahájením zpracování. Pilot se skutečnými údaji není mimo test jen kvůli svému názvu. Záznam proto uvede plánované spuštění a okamžik, dokdy lze ještě změnit rozsah, odstranit nepotřebný údaj nebo přidat lidskou kontrolu.

Tři povinné případy uzavírají první větev

Rozhodnutí u každého případu uzavírejte větou, která propojí pozorovaný fakt s přesnou podmínkou a uvede chybějící prvek záporné odpovědi, protože tabulkový řádek bez této vazby může později působit jako mechanické označení. Důkaz má vlastníka, datum a uloženou verzi, takže změna objemu, účinku nebo konfigurace nečeká na náhodné zjištění při auditu.

U automatizovaného hodnocení popište vstupy, vytvořený profil, pravidelnost, navazující rozhodnutí a skutečný účinek na člověka, protože pouhá přítomnost modelu ani ruční potvrzení samo neřeší význam výsledku. U zvláštních kategorií oddělte citlivost od rozsahu a doložte počet osob, objem, trvání i dosah. U veřejných prostorů zaznamenejte plochu, frekvenci, spojování událostí a reálnou možnost sledování uniknout. Každý povinný případ tak končí ověřitelným ano nebo ne, nikoli pouze citací názvu.

Článek 35 uvádí tři situace, v nichž se DPIA vyžaduje ¹. Pojmy „rozsáhlé“ a „systematické“ se posuzují podle reality operace, nikoli podle marketingového popisu.

Automatizace nestačí bez dalších prvků. WP248 vysvětluje praktické použití pojmů ² a EDPB pokyny podpořil ³. Třídění interních úloh bez účinku na lidi se liší od skóre, které rozhoduje o úvěru ¹. U každého řádku popište, proč podmínka platí, nebo neplatí. U hodnocení uveďte osobní aspekty a účinek, u citlivých údajů rozsah a u monitorování frekvenci, pokrytí a možnost se mu vyhnout.

Nejprve vymezte operaci a ověřte povinný případ. Pokud neplatí, projděte kritéria a seznamy a samostatně posuďte pravděpodobné vysoké riziko. Kladná větev vede k DPIA a testu zbytkového rizika; záporná k záznamu důvodu. Obě větve končí spouštěčem přezkumu ^{2 1}.

Devět kritérií není bodovací automat

Při společném hodnocení kritérií uveďte, která kombinace zvyšuje pravděpodobnost, závažnost nebo obtížnost nápravy, protože stejný počet znaků může vytvářet odlišný obraz podle intenzity a vztahu k rozhodnutí o člověku. Závěr vychází z tohoto popsaného obrazu a ne z předem zvoleného číselného prahu.

U každé významné kombinace zapište také opatření, které by změnilo intenzitu nebo následek, protože tato vazba připravuje obsah případné DPIA a zpřesňuje důvod dnešního výsledku.

Kritérium se zapisuje jako otázka s důkazem, intenzitou a vazbou na konkrétní následek, takže tabulka nefunguje jako mechanický součet bez vysvětlení. U spojování uveďte původní kontexty a očekávání lidí, u zranitelnosti zdroj nerovného postavení a u překážky práva nebo služby přesné rozhodnutí, které může výstup ovlivnit. Několik slabých znaků může společně vytvořit vážný scénář, zatímco dva formálně přítomné znaky nemusí bez intenzity automaticky uzavřít odpověď. Záznam proto ukáže cestu úsudku a ne pouze počet zatržených polí.

Pokud neplatí povinný případ, použijte devět kritérií WP248 ². Dvě zpravidla ukazují na potřebu DPIA ³, nejde však o zákonný práh. Jedno kritérium může při vysoké intenzitě stačit.

Kritéria vyžadují důkaz, ne jen zatržení. U rozsahu zachyťte čtyři rozměry, u spojování původní účely a u zranitelnosti důvod omezené volby ³. Popište také intenzitu: několik slabých znaků nemusí mít stejný účinek jako jediné rozhodnutí, které člověku uzavře zásadní službu. Takový komentář vysvětluje výsledný úsudek a připraví témata pro obsah DPIA.

Seznamy úřadu doplňují společný test

Kontrola seznamu uchovává příslušný úřad, datum přístupu, verzi, přesnou položku a srovnání s vlastní operací, aby další čtenář mohl krok zopakovat i po změně veřejného dokumentu. Shoda se hodnotí podle účelu, osob, údajů, rozsahu a způsobu použití, nikoli podle podobného obchodního názvu. Částečná shoda se vrací k obecnému testu vysokého rizika a nevede k vytvoření nové nepsané kategorie. Při více jurisdikcích se každý relevantní seznam kontroluje samostatně a výsledek se nepřenáší bez zdůvodnění.

Po kritériích ověřte pozitivní i negativní seznam příslušného dozorového úřadu. Článek 35 s těmito seznamy počítá ¹. Nevytvářejte univerzální národní výčet: příslušnost, znění i aktuálnost je nutné zkontrolovat pro situaci daného správce.

Do záznamu vložte datum, verzi, relevantní položku a výsledek. Porovnejte její účel, osoby, údaje a rozsah s vlastním projektem. Pozitivní položka může rozhodnutí uzavřít pro DPIA; negativní jej podporuje jen v popsaných hranicích. Nejasnost není oprávněním rozšířit cizí kategorii. Určete vlastníka, který kontrolu zopakuje při změně projektu nebo seznamu.

Odpověď ne je plnohodnotná větev

Přezkoumatelná záporná větev uvádí také nejistoty a vysvětluje, proč na dostupných faktech nemění závěr, místo aby je ze záznamu odstranila. Každá nejistota má hranici přijatelnosti a spouštěč, při němž musí tým získat nový důkaz nebo rozhodnutí změnit.

Schvalující role proto vidí nejen konečné ne, ale i kvalitu podkladů, otevřené závislosti, vlastníka dalšího kroku a datum, po němž už starý závěr nelze bez ověření znovu použít.

Záporný závěr shrnuje vyloučené povinné případy, přítomná kritéria, jejich intenzitu, výsledek seznamů a konkrétní důvody, proč společně neukazují pravděpodobné vysoké riziko. Součástí je protifakt, například větší rozsah, spojení externích zdrojů, nepřetržité sledování nebo významnější rozhodnutí, který by odpověď změnil. Tím se z ne nestane trvalá výjimka připojená k názvu procesu. Vlastník a datum navíc určují, kdo porovná budoucí změnu s původní hranicí a kdy se rozhodnutí znovu otevře.

Ne každá operace potřebuje DPIA, ale malý podnik nemá obecnou výjimku ¹. Záporný závěr se opírá o konkrétní fakta a test vysokého rizika ². Omezený seznam vlastních zákazníků pro běžné sdělení může po posouzení zůstat mimo vysoké riziko, nejde však o bezpečný přístav.

Profilování, spojení externích zdrojů, systematické sledování nebo významný účinek mohou stejný obchodní název proměnit v jinou operaci. Zapište tedy nejen dnešní důvod „ne“, ale i hranici změny. Menší počet osob rovněž automaticky neznamená nízké riziko, pokud může následek jednotlivce vážně poškodit.

Dobrá záporná větev ukáže, které povinné případy byly vyloučeny, která kritéria se objevila, jakou měla intenzitu a co ukázaly seznamy. Bez této logiky nelze později poznat, zda nový účel, zdroj dat nebo větší rozsah původní závěr překonal.

Jeden záznam musí unést ano i ne

Rozhodovací záznam musí zůstat srozumitelný i člověku, který nebyl na původní poradě a nezná interní zkratky, proto každé pole uvádí pozorovaný fakt, jeho zdroj, časovou platnost a osobu schopnou potvrdit změnu. U více systémů hranice zpracování popíše vstup, přenos, odvozený údaj, příjemce i vymazání, aby se vysoké riziko neposuzovalo pouze podle nejviditelnější obrazovky. Rozpor mezi produktovým popisem a skutečným tokem se zapíše jako otevřená otázka s termínem, nikoli jako tiché předpokládané ne. Další vlastník potom dokáže úvahu zopakovat bez automatického přijetí starého výsledku.

Záznam začíná názvem činnosti a přesnou hranicí operace ². Dále obsahuje osoby, účel, data, příjemce a rozsah, test tří případů ¹, devět kritérií a kontrolu obou seznamů. Pokud se uplatní pověřenec pro ochranu osobních údajů, zachyťte jeho stanovisko i způsob, jakým s ním projekt naložil. Jedna tabulka je lepší než rozptýlené e-maily: budoucí čtenář musí bez účasti na poradách pochopit, které skutečnosti vedly k ano nebo ne.

Výsledek spojte s čitelným odůvodněním, vlastníkem, datem a spouštěčem. Pole „aktivita“ definuje hranici, „fakta“ osoby, data, účel a rozsah a „test“ propojí tyto skutečnosti s článkem 35. Vlastník není pouhý zapisovatel, ale role schopná reagovat na změnu. Spouštěčem může být nový účel, dodavatel, model, zdroj údajů, větší objem nebo jiný typ automatizovaného rozhodnutí.

U výsledku ano přidejte vlastníka vypracování DPIA a rozhodovací termíny. U výsledku ne nepoužívejte větu bez časové hranice. Obě větve se musí vrátit k přezkumu.

Kladná větev má čtyři části

Praktická DPIA propojuje každý účel s konkrétním krokem toku, potřebou, člověkem vystaveným následku a opatřením s pozorovatelnou účinností, takže dokument nevytváří oddělené seznamy bez vzájemné vazby. U nezbytnosti prověřte, zda by méně údajů, kratší uchování, užší příjemci nebo slabší automatizace nedosáhly stejného účelu s menším zásahem, a odpověď podložte zkouškou či provozním důkazem. Rizikový scénář jmenuje událost, příčinu, dotčeného člověka, bezprostřední následek a delší dopad, protože obecná položka o úniku dat nestačí k volbě ochrany. Opatření dostává konfiguraci, vlastníka, termín, metodu testu a hranici úspěchu, aby jeho přítomnost v politice nebyla zaměněna za skutečné snížení rizika.

Názory dotčených osob pomáhají tehdy, když otázky vycházejí z reálného použití a tým předem ví, jak odpovědi ovlivní návrh, informování nebo možnost námitky. Není-li konzultace vhodná či proveditelná, záznam uvede důvod, náhradní zdroj poznání a zbývající nejistotu. Technický test sleduje vedle průměrné přesnosti také chybové skupiny, výjimky, odvolání a situace, kdy pracovník výstup pouze formálně potvrzuje. Právní a technický vlastník porovnají výsledky na stejném scénáři, aby se bezpečnostní úspěch nevydával za odpověď na diskriminaci, ztrátu služby nebo nemožnost uplatnit právo.

• Systematický popis a účely. Zachyťte operace a jejich účely ¹, včetně relevantního oprávněného zájmu ².
• Nezbytnost a přiměřenost. Každý údaj, krok a doba musí odpovídat účelu a obstát proti méně rušivé možnosti.
• Rizika pro práva a svobody. Pojmenujte konkrétní následky pro člověka, ne pouze obchodní nebo technická rizika.
• Opatření a mechanismy souladu. Uveďte záruky, zabezpečení, vlastníka a důkaz účinnosti; podle vhodnosti zohledněte názory dotčených osob a zbytkové riziko.

Čtyři části propojte datovým tokem. Popis umožní prověřit nezbytnost, rizikový scénář pojmenuje člověka, událost, příčinu a následek a opatření ukáže, co přesně snižuje. Obecná věta o zabezpečení nestačí. Rozlišujte také újmu firmy od újmy člověka: chybný model může být technický problém a současně někomu nespravedlivě zavřít přístup ke službě.

Šablona EDPB je volitelná opora

Evropský sbor pro ochranu osobních údajů přijal šablonu DPIA 14. dubna 2026; není povinná, nezakládá nový důvod pro DPIA a správci ponechává volbu metodiky ⁴. Organizaci bez vlastního postupu nabízí bezplatnou strukturu, zatímco zavedený postup lze podle ní zkontrolovat. Konzultace skončila 9. června 2026, avšak oficiální stránka stále uvádí, že šablona bude po konzultaci dokončena ⁵.

Přezkum patří k provozu

Provozní spouštěč pomáhá jen tehdy, když jej některý tým rozpozná dříve, než se změněné zpracování rozšíří na další lidi nebo údaje, a proto se k události přiřazuje konkrétní signál, evidenční místo a odpovědná role. Může jít o schválení dodavatele, změnu modelové verze, přidání atributu nebo překročení dohodnutého objemu. Vlastník porovná novou realitu s původní hranicí, popíše rozdíl a rozhodne, zda stačí aktualizace, nové opatření nebo opakování DPIA. Pravidelná kontrola navíc ověří skutečné použití, incidenty, stížnosti, výjimky a účinnost opatření, která při návrhu vypadala přesvědčivě.

DPIA není povolení bez konce. Správce podle potřeby kontroluje, zda operace odpovídá posouzení, zejména při změně rizika ¹. WP248 ji chápe jako pokračující proces ². Nový zdroj, dodavatel, účel, model nebo rozsah může překročit původní hranice.

Spouštěče přidělte konkrétním rolím. Nákup oznámí nového dodavatele, produktový vlastník nový účel, technický tým model a provoz nárůst objemu. Určená role rozhodne, zda stačí doplnění, nebo nový podstatný krok DPIA. Přezkum může původní závěr potvrdit; jeho účelem je zachytit významnou změnu, ne vyrábět dokument při každé drobné úpravě.

Pracovní příklady prověřují důvod

Malý obchod s omezeným vlastním seznamem bez profilování může na daných faktech dojít k nízkému riziku ¹. Rozsáhlé bodování by závěr změnilo. Systém nepřetržitě hodnotící zaměstnance spojuje hodnocení, monitorování, zranitelnost a významný účinek ²; označení „pilot“ zpracování neodstraní. Zdravotní nástroj nad citlivými údaji může spojit rozsah a inovaci. Nezbytnost každého toku se pak posoudí odděleně.

U každého příkladu napište opačný fakt, který výsledek změní. Tím ověříte, zda tým rozumí testu, nebo pouze kopíruje podobný název. Dva projekty „plánování směn“ se liší, pokud jeden jen nabízí volné termíny a druhý hodnotí zdraví, docházku a výkon s dopadem na příjem. Příklad následuje po právním testu a nikdy nenahrazuje vlastní fakta.

Pracovní scénář uzavřete stejnými poli jako ostrý projekt: hranice, osoby, data, účel, povinný případ, kritéria, seznam, závěr a spouštěč. Příklad pak neříká zkratku „newsletter ne“ nebo „AI ano“, ale ukazuje argument. Čtenář vidí, které skutečnosti riziko snižují, které jej zvyšují a proč může podobně pojmenovaná operace dojít k opačnému výsledku.

Vysoké riziko posuzujte přes konkrétní následky. Málo častý scénář může mít tak vážný dopad, že vyžaduje podrobnou analýzu, zatímco mnoho menších zásahů vytvoří kumulativní újmu. Zapište člověka, událost, příčinu a následek. Obecné označení „technické riziko“ neukazuje, zda může někdo přijít o službu, být nespravedlivě hodnocen nebo ztratit kontrolu nad citlivými údaji.

Povinný případ neověřujte názvem projektu. U automatizovaného hodnocení zachyťte vstupy, vytvořený profil, systematičnost a rozhodnutí. U zvláštních kategorií vyhodnoťte počet osob, objem, trvání a zeměpisný dosah. U veřejných prostorů popište plochu, frekvenci, spojování záznamů a schopnost lidí sledování uniknout. Když případ platí, kritéria dále určují obsah a priority samotné DPIA.

Každé kritérium převeďte na ověřitelnou otázku a zdroj. U skórování uložte modelovaný atribut a použití, u monitorování dobu a spojování událostí, u citlivých údajů přesnou kategorii a u inovace konkrétní nejistotu. Spojování je podstatné hlavně tehdy, když data vznikla v odlišných kontextech a lidé takové použití neočekávají. Zranitelnost může vyplývat z věku, zdraví, zaměstnání nebo závislosti na službě.

Kontrola seznamu má být reprodukovatelná. Uložte, kdo seznam otevřel, jaké znění četl a kde je důkaz. Nepřebírejte seznam jiného státu ani národní příklad do společného testu. Pokud se operace s položkou neshoduje, popište rozdíl; při částečné shodě se vraťte k obecnému testu vysokého rizika místo vytvoření nové kategorie.

Záporná větev potřebuje protifakt, který odpověď změní. U jednoduchého seznamu může jít o rozsáhlé profilování nebo spojení externích údajů; u příležitostné kontroly o nepřetržité monitorování. Menší počet lidí není bezpečný přístav, pokud rozhodnutí může jednomu z nich způsobit mimořádně vážnou újmu. Výsledek ne proto obsahuje pozitivní odůvodnění, nikoli pouze absenci zatrženého políčka.

Použijte jedno strukturované místo místo e-mailového řetězce. Pole aktivita, fakta, právní test, stanovisko pověřence, závěr, vlastník, datum a spouštěč umožní jinému člověku rozhodnutí zopakovat. Každé opatření má vlastníka, termín a způsob ověření; po něm znovu posuďte zbytkové riziko. Nákup oznámí dodavatele, produktový vlastník účel, technický tým model a provoz objem, aby určená role otevřela nové posouzení včas.

Časté otázky k rozhodnutí

Před uzavřením odpovědi rozlište, zda otázka míří k právnímu testu, k obsahu následné DPIA nebo k provoznímu přezkumu, protože tyto kroky používají jiné důkazy a nemají se spojit do neurčitého schválení. Výsledek ano neprokazuje, že opatření již riziko skutečně snížila, zatímco výsledek ne neznamená, že záznam může zůstat bez vlastníka nebo časové hranice. Každá odpověď proto uchová podmínky své platnosti a konkrétní spouštěč nového posouzení. Čtenář získá použitelné pravidlo, aniž by se často kladená otázka stala náhradou analýzy vlastního zpracování.

Příklad kontrolujte protifaktem, který mění jeden rozhodující znak a ponechává ostatní podmínky stejné, protože tak lze odhalit nevyslovené pravidlo skryté za názvem projektu nebo technologií. Pokud se závěr nezmění ani po výrazném rozšíření rozsahu, citlivosti nebo účinku na člověka, vraťte se k odůvodnění a ověřte zdroje. Stejný nástroj může v jedné organizaci pouze třídit dokumenty a v jiné vytvářet skóre ovlivňující práci, úvěr či zdravotní službu. Rozhoduje tedy konkrétní operace, očekávatelný následek a možnost člověka se zpracování vyhnout.

Je DPIA povinná při každé AI?

Ne. Článek 35 se váže na vysoké riziko ¹, ne na nálepku technologie. AI může splnit povinný případ, pokud rozsáhle hodnotí lidi s významným účinkem ².

Jsou dvě kritéria automatické ano?

Ne. Dvě jsou praktický orientační bod ², který EDPB podpořil ¹. Intenzita a souvislosti stále rozhodují.

Ukončí negativní seznam kontrolu?

Je důležitým vstupem ³, ale musí odpovídat reálné operaci ¹. Změna projektu může staré odůvodnění překonat ².

Co následuje po ano?

Čtyři části DPIA pokryjí popis ², nezbytnost a přiměřenost ¹, rizika a opatření. Zbytkové vysoké riziko může otevřít konzultaci.

Je šablona DPIA od EDPB povinná?

Ne. EDPB přijala šablonu 14. dubna 2026, ale správce si může zvolit vlastní metodiku a šablona nevytváří nový důvod pro DPIA ⁴. Poskytuje bezplatnou strukturu nebo kontrolu vlastního postupu. Konzultace skončila 9. června 2026 a oficiální stránka nadále uvádí, že šablona bude po konzultaci dokončena ⁵.

Je nutné ptát se lidí?

Je-li to vhodné, názory se zjišťují. Pokud to možné není, důvod má být vysvětlitelný.

Kdy se závěr znovu otevře?

Při změně operace nebo rizika. Záznam uvádí vlastníka, datum a konkrétní spouštěč. Přezkum drží DPIA aktuální a zachycuje změny účelu, dat, rozsahu i technologie.