Kedy je potrebná DPIA: rozhodnutie krok za krokom

Otázka kedy je potrebná DPIA sa nerieši podľa veľkosti spoločnosti ani podľa toho, či dodávateľ označil nástroj za umelú inteligenciu. Rozhoduje konkrétne navrhované spracúvanie a pravdepodobnosť vysokého rizika pre práva a slobody ľudí ¹. Posúdenie vplyvu na ochranu údajov sa robí pred začatím takej operácie, nie po prvom incidente.

Rozhodnutie vzniká pred spustením a viaže sa na presne vymedzenú operáciu, nie na produkt ako celok, takže rovnaký nástroj môže vyžadovať nové posúdenie pri zmene osôb, údajov, účelu, rozsahu alebo významu výstupu. Tím najprv zakreslí skutočný tok, otvorené otázky pridelí vlastníkom a chýbajúci dôkaz nevyloží ako nízke riziko. Výsledok vysvetlí použitý test, fakty držiace odpoveď aj protifakt, ktorý ju znovu otvorí.

Rýchla odpoveď

DPIA je potrebná, keď navrhované spracúvanie vzhľadom na povahu, rozsah, kontext a účely pravdepodobne spôsobí vysoké riziko pre práva a slobody. Preverte tri povinné prípady článku 35 ¹, deväť kritérií WP248 ² a zoznamy príslušného orgánu. Výsledok „áno“ aj „nie“ písomne zdôvodnite pred spustením spracúvania.

Pred rozhodnutím zosúlaďte opis so skutočným dátovým tokom. Pri každom kroku uveďte osoby, údaje, účel, príjemcu, dobu, automatizované rozhodnutie a možnosť nápravy. Otvorený údaj má vlastníka, zdroj a termín; jeho neprítomnosť nie je dôkazom nízkeho rizika. Schvaľujúca rola potvrdí termín, miesto dôkazov a protifakt, ktorý pri zmene účelu, dodávateľa, modelu, zdroja, rozsahu alebo významu rozhodnutia otvorí posúdenie znova.

Naposledy aktualizované: 26. augusta 2026

Začnite pravdepodobným vysokým rizikom

Prvý test znie: môže navrhované spracúvanie pravdepodobne viesť k vysokému riziku pre práva a slobody fyzických osôb? Článok 35 prikazuje posudzovať povahu, rozsah, kontext a účely spracúvania spoločne ¹. Samotná moderná technológia odpoveď neurčuje; rovnaký analytický nástroj môže byť málo rizikový pri súhrnných údajoch o zásobách a podstatne rizikovejší pri hodnotení zamestnancov.

Slovo „pravdepodobne“ neznamená, že ujma musí byť istá; tím má rozumne predvídať možné následky: odmietnutie služby, diskrimináciu, stratu kontroly nad údajmi, finančnú škodu alebo zásah do súkromia; zároveň nejde o test založený na neurčitom pocite, preto vymedzte ľudí, údaje, rozhodnutia, tok údajov, príjemcov a dobu používania. Až potom možno hovoriť o riziku ¹.

Časovanie je pevné; DPIA má ovplyvniť návrh skôr, než sa spracúvanie začne ¹. Ak projektový tím vyplní dokument až po nákupe, integrácii a spustení, z posúdenia sa stane opis hotového rozhodnutia. Už nedokáže lacno zmeniť rozsah, odstrániť nepotrebný údaj alebo pridať ľudskú kontrolu.

V úvodnom zázname preto oddelte plán od existujúcej prevádzky. Pomenujte dátum zamýšľaného spustenia, prvé rozhodnutie, ktoré systém ovplyvní, a okamih, dokedy možno návrh ešte zmeniť. Pri postupnom zavádzaní sa nespoliehajte na slovo „pilot“: ak pilot spracúva skutočné údaje skutočných ľudí, jeho riziká sú reálne. Vysoké riziko sa neposudzuje iba podľa pravdepodobnosti jednej udalosti. Zriedkavý následok môže byť natoľko závažný, že vyžaduje dôkladné posúdenie, a množstvo menších zásahov môže vytvoriť rozsiahly kumulatívny dosah ¹.

Tri prípady, pri ktorých článok 35 nečaká

Niektoré operácie patria medzi výslovne pomenované situácie. Ak plán spĺňa jednu z nich, otázka sa už neposúva k voľnej úvahe; treba pripraviť DPIA ¹. Výrazy ako „rozsiahle“ či „systematické“ stále treba vyložiť podľa reálneho spôsobu spracúvania, nie podľa marketingového názvu systému.

„Automatizované“ ešte samo osebe nestačí; povinný prípad spája systematickosť, rozsah a účinok rozhodnutia. Usmernenia WP248 pomáhajú tieto pojmy uplatniť v praxi ¹ a Európsky výbor pre ochranu údajov tieto usmernenia podporil ². Napríklad nástroj, ktorý iba zoradí interné úlohy bez vplyvu na ľudí, sa neposudzuje rovnako ako systém, ktorý rozhoduje o prístupe k úveru ³.

Pri každom riadku tabuľky zapíšte aj dôvod, prečo podmienka platí alebo neplatí. Pri hodnotení uveďte, aké osobné aspekty sa vyhodnocujú, či je postup systematický a aký účinok má výsledok. Pri citlivých údajoch rozlíšte jednotlivý prípad od rozsiahlej databázy podľa počtu ľudí, objemu, trvania a územného dosahu. Pri monitorovaní verejného priestoru pomenujte frekvenciu, pokrytie a schopnosť ľudí sledovaniu uniknúť. Tým sa z troch názvov stane auditovateľný test a tím nebude neskôr tvrdiť, že jednu podmienku „predpokladal“.

Ak povinný prípad platí, ďalšie kritériá stále majú hodnotu. Neotvárajú otázku, či DPIA možno vynechať, ale ukazujú, ktoré riziká a skupiny ľudí musí jej obsah podrobne pokryť ¹. Rovnaké kritérium môže tiež vysvetliť, prečo navrhnuté opatrenie nestačí a prečo sa má testovať zvyškové riziko.

Vymedzte spracúvanie a najprv preverte povinný prípad. Ak sa neuplatní, pokračujte kritériami a zoznamami, potom samostatne vyhodnoťte pravdepodobné vysoké riziko. Kladný výsledok vedie k DPIA a testu zvyškového rizika; záporný výsledok vedie k záznamu dôvodu. Obe vetvy sa končia konkrétnym spúšťačom preskúmania ^{2 1}.

Deväť kritérií je obraz rizika, nie skóre

Ak spracúvanie nespadá priamo do jedného z troch prípadov, použite deväť kritérií WP248. Dve kritériá spravidla naznačujú potrebu DPIA a ďalšie ju robia pravdepodobnejšou ². Tento orientačný bod nie je zákonným prahom ³. Jediné kritérium môže pri mimoriadnej intenzite stačiť, kým dve slabé a obmedzené okolnosti nemusia bez ďalšieho znamenať vysoké riziko.

Kritériá čítajte v súvislostiach; kombinovanie údajov o nákupoch s údajmi o polohe môže mať iný dosah než spojenie dvoch technických evidencií. Pri zraniteľných osobách je dôležité, že nemusia vedieť slobodne odmietnuť. Pri inovácii sa nepýtajte, či je výrobok nový na trhu, ale či nový spôsob použitia mení očakávania a možnosti obrany ².

Každé kritérium potrebuje krátky dôkaz; pri hodnotení či bodovaní uložte opis vstupov, vytvoreného profilu a použitia výsledku. Pri automatizovanom rozhodnutí uveďte následok pre človeka a miesto skutočnej ľudskej kontroly. Systematické monitorovanie opíšte frekvenciou, trvaním a schopnosťou spájať udalosti. Pri citlivých údajoch pomenujte kategóriu a možnú ujmu, nie iba všeobecnú značku „citlivé“.

Rozsah posúďte cez počet ľudí, objem údajov, trvanie a geografické pokrytie. Pri spájaní súborov sa pýtajte, či údaje vznikli v rozdielnych kontextoch a či ľudia očakávali ich spojenie. Zraniteľnosť môže vyplývať z veku, zdravia, pracovného vzťahu alebo závislosti od služby. Inovatívnosť opisuje neistotu nového použitia a posledné kritérium zachytáva situácie, keď výstup rozhoduje o práve, službe alebo zmluve. Také poznámky zabránia mechanickému odškrtnutiu deviatich políčok bez analýzy ³.

Zoznamy orgánu dopĺňajú európsky test

Po kritériách skontrolujte zoznam spracovateľských operácií, pri ktorých príslušný dozorný orgán vyžaduje DPIA, aj zoznam operácií, pri ktorých ju nevyžaduje. Článok 35 s takýmito zoznamami výslovne počíta ¹.

Tento krok sa nedá nahradiť všeobecným zoznamom v článku pre celú EÚ. Príslušný orgán a jeho aktuálne znenie závisia od situácie prevádzkovateľa. Preto si v rozhodovacom zázname uložte názov preverenej položky, dátum kontroly a výsledok, ale nepreberajte cudziu národnú kategóriu ako univerzálne pravidlo.

Pozitívny zoznam môže pomenovať operáciu, ktorá na prvý pohľad nepôsobí ako povinný prípad, a tým uzavrieť rozhodnutie v prospech DPIA. Negatívny zoznam zas môže podporiť výsledok „nie“, no iba v hraniciach opísanej operácie; porovnajte preto účel, údaje, rozsah a dotknuté osoby s textom položky, nie iba názov projektu. Ak sa kategória nezhoduje alebo je znenie nejasné, zaznamenajte neistotu a nevytvárajte si vlastnú rozšírenú verziu zoznamu.

Kontrola musí byť opakovateľná; uveďte, kto zoznam otvoril, ktorú verziu preveril a kde sa dôkaz uchováva. Tak možno pri preskúmaní rozlíšiť zmenu spracúvania od zmeny samotného zoznamu.

Záporná vetva je skutočný výsledok

Záporný záver zhrnie vylúčené povinné prípady, prítomné kritériá, ich intenzitu, výsledok zoznamov a konkrétne dôvody, prečo spolu neukazujú pravdepodobné vysoké riziko. Súčasťou je protifakt, napríklad väčší rozsah, spojenie externých zdrojov, nepretržité sledovanie alebo významnejšie rozhodnutie, ktorý by odpoveď zmenil. Tak sa z „nie“ nestane trvalá výnimka pripojená k názvu procesu. Vlastník a dátum navyše určia, kto porovná budúcu zmenu s pôvodnou hranicou a kedy sa posúdenie znovu otvorí.

Nie každé spracúvanie potrebuje DPIA. GDPR však neposkytuje všeobecnú výnimku pre malé podniky ¹. Správna záporná vetva teda neznie „sme malí“, ale „na základe týchto faktov spracúvanie pravdepodobne nevedie k vysokému riziku“ ².

Obyčajný zoznam zákazníkov na zasielanie obmedzenej vlastnej reklamy môže po konkrétnom posúdení zostať mimo vysokej rizikovosti ². Nie je to však bezpečný prístav. Rozsiahle profilovanie, spájanie externých údajov alebo sledovanie zraniteľných ľudí by záver zmenilo. Rovnaký názov činnosti môže zakrývať úplne odlišnú operáciu.

Záporný výsledok je užitočný iba vtedy, keď sa dá neskôr overiť. Ak tím nevie, aké údaje a účely posudzoval, po zmene systému nedokáže rozpoznať, že pôvodné odôvodnenie už neplatí.

Pri zápornej vetve opíšte aj hranice, za ktorými sa odpoveď zmení. Mailingový zoznam môže zostať obmedzený na vlastných zákazníkov a jednoduché odoslanie, no pridanie nákupnej histórie, údajov od partnera a predikcie citlivých záujmov vytvorí iný profil rizika. Kamera pri jednorazovej kontrole zariadenia nie je to isté ako nepretržité sledovanie pohybu. Malý počet ľudí nezaručuje nízke riziko, ak môže rozhodnutie niekomu odoprieť zásadnú službu.

Záver „nie“ preto potrebuje pozitívne odôvodnenie: ktoré povinné prípady boli vylúčené, ktoré kritériá sa objavili, akú mali intenzitu a čo ukázali zoznamy. Bez tejto logiky je výsledok iba neprenosným názorom. Dobre zdokumentovaná záporná vetva zároveň chráni ľudí pred zbytočnou administratívou: tím vie, prečo úplná DPIA nepridá primeranú hodnotu, a môže sústrediť kontrolu na skutočné riziká.

Záznam musí uniesť obe odpovede

Rozhodovací záznam má zostať zrozumiteľný aj človeku, ktorý nebol na pôvodnom stretnutí a nepozná skratky projektu, preto pri každom poli uveďte nielen záver, ale aj pozorovaný fakt, jeho zdroj, časovú platnosť a osobu schopnú potvrdiť zmenu. Ak tím používa viac systémov, hranica spracúvania musí pomenovať vstup, prenos, odvodený údaj, príjemcu aj vymazanie, aby sa vysoké riziko neposudzovalo iba podľa najviditeľnejšej obrazovky. Rozpor medzi produktovým opisom a skutočným tokom sa zaznamená ako otvorená otázka s termínom, nie ako tiché predpokladané „nie“. Takýto zápis umožní ďalšiemu vlastníkovi zopakovať úvahu bez toho, aby pôvodný výsledok automaticky považoval za správny.

Rozhodovací záznam začnite presným názvom činnosti a vymedzením operácie ². Uveďte relevantné fakty, výsledok troch povinných prípadov podľa článku 35 ¹ a aplikáciu deviatich kritérií. Pripojte výsledok kontroly pozitívneho a negatívneho zoznamu a stanovisko zodpovednej osoby, ak sa na projekte podieľa.

Samotná veta „DPIA netreba“ nestačí. Záver spojte s dôvodmi, vlastníkom rozhodnutia, dátumom a spúšťačom preskúmania. Spúšťač môže byť zmena účelu, údajov, rozsahu, dodávateľa, spôsobu automatizácie alebo skupiny ľudí. Taký záznam nie je administratívnou prílohou; je mapou hraníc, v ktorých je dnešné rozhodnutie platné.

Pri výsledku „áno“ evidujte aj vlastníka vypracovania DPIA a plánované rozhodovacie body. Pri výsledku „nie“ sa vyhnite formulácii, ktorá by znela večne. Obe vetvy sa majú vrátiť k preskúmaniu.

Použite jeden záznam s jasnými poľami, nie roztrúsené e-maily. Pole „aktivita“ definuje hranicu; „fakty“ uvádzajú objem, ľudí, údaje a technológiu; „test“ zachytáva povinné prípady, kritériá a zoznamy. Samostatné pole pre názor zodpovednej osoby ukáže, či bol vyžiadaný a ako sa s ním naložilo. Odôvodnenie má spojiť fakty so záverom v niekoľkých čitateľných vetách.

Vlastník nie je autor zápisnice, ale osoba schopná reagovať na zmenu. Dátum ukazuje, kedy boli fakty pravdivé. Spúšťač preskúmania prekladá všeobecnú povinnosť do prevádzky: nový zdroj údajov, iný účel, podstatne väčší objem, nová automatizovaná funkcia alebo zmena zoznamu. Ak sa rozhodnutie schvaľuje vo výbore, záznam stále potrebuje jednu zodpovednú rolu.

Kladná vetva má štyri povinné časti

Praktická DPIA prepája každý účel s konkrétnym krokom toku, zákonnou potrebou, osobou vystavenou následku a opatrením, ktorého účinnosť možno pozorovať, takže dokument nevytvára oddelené zoznamy bez vzájomnej väzby. Pri nevyhnutnosti sa pýtajte, či by menej údajov, kratšie uchovanie, užší okruh príjemcov alebo slabšia automatizácia dosiahli rovnaký účel s menším zásahom, a odpoveď podložte skúškou alebo prevádzkovým dôkazom. Rizikový scenár pomenuje udalosť, príčinu, dotknutého človeka, bezprostredný následok a dlhší dosah, preto všeobecná položka „únik údajov“ nestačí na výber primeranej ochrany. Opatrenie potom dostane konfiguráciu, vlastníka, termín, metódu testu a hranicu úspechu, aby jeho prítomnosť v politike nebola zamieňaná za skutočné zníženie rizika. Zvyškové riziko sa posudzuje až po overení týchto krokov a nezmizne iba preto, že tím vyplnil všetky polia šablóny.

Názory dotknutých osôb majú zmysel vtedy, keď otázky vychádzajú z reálneho použitia a tím vopred určí, ako odpovede zmenia návrh, informovanie alebo možnosť namietať. Ak konzultácia nie je vhodná alebo uskutočniteľná, záznam uvedie dôvod, alternatívny zdroj poznania a zostávajúcu neistotu. Technický test sleduje nielen priemernú presnosť, ale aj chybové skupiny, výnimky, odvolanie a situácie, v ktorých ľudský pracovník výstup iba formálne potvrdzuje. Právny a technický vlastník napokon porovnajú výsledky na jednom scenári, aby sa bezpečnostný úspech omylom nevydával za odpoveď na diskrimináciu, stratu služby alebo nemožnosť uplatniť právo.

• Systematický opis a účely. Zachyťte operácie, tok údajov, roly, technológiu a rozhodnutia ¹. Pri oprávnenom záujme pomenujte aj tento záujem ² a umožnite čitateľovi porozumieť projektu bez znalosti porád.
• Nevyhnutnosť a primeranosť. Overte každý údaj, krok, dobu a menej rušivú možnosť vo vzťahu k účelu aj uplatnenie práv ľudí.
• Riziká pre práva a slobody. Pomenujte konkrétne následky pre človeka, nie iba technické alebo obchodné hrozby.
• Opatrenia a mechanizmy súladu. Priraďte scenáru záruky, bezpečnosť, vlastníka a dôkaz účinnosti; podľa vhodnosti zohľadnite názory dotknutých osôb.

Ak primerané opatrenia nedokážu znížiť zvyškové vysoké riziko, pred spracúvaním môže byť potrebná predchádzajúca konzultácia s príslušným dozorným orgánom. Nejde o náhradný podpis pod nedokončenú DPIA; konzultácia prichádza po poctivom opise rizík a opatrení.

Štyri časti sa majú navzájom prepájať. Opis poskytne dátový tok, podľa ktorého možno preveriť nevyhnutnosť každého vstupu. Rizikový scenár pomenuje človeka, udalosť, príčinu a následok. Opatrenie potom ukáže, ktorý prvok scenára znižuje a ako sa účinnosť overí. Všeobecná fráza „údaje budú zabezpečené“ nie je použiteľným opatrením bez vlastníka, konfigurácie a kontrolného dôkazu.

Nezamieňajte riziko pre spoločnosť s rizikom pre človeka. Výpadok môže byť obchodnou stratou, ale pri zdravotnej službe môže zároveň oddialiť starostlivosť. Nesprávne skóre môže znížiť presnosť modelu, no pre uchádzača môže znamenať nespravodlivé vyradenie. DPIA musí držať v strede práva a slobody a až potom priraďovať technické a organizačné kontroly.

Vzor EDPB je voliteľná opora

Európsky výbor pre ochranu údajov prijal vzor DPIA 14. apríla 2026 a ponechal prevádzkovateľovi voľbu metodiky ⁴; keďže vzor nie je povinný ani nevytvára nový dôvod na DPIA, organizácii bez vlastného postupu poskytuje bezplatnú štruktúru a pri zavedenom procese slúži na overenie. Hoci sa konzultácia skončila 9. júna 2026, oficiálna stránka stále uvádza, že vzor bude po konzultácii dokončený ⁵.

Preskúmanie patrí do životného cyklu

Dokončená DPIA nie je povolenie bez konca. Prevádzkovateľ podľa potreby preskúma, či spracúvanie zodpovedá posúdeniu, najmä pri zmene rizika ¹. Usmernenia ju preto opisujú ako pokračujúci proces ².

Spúšťač spojte s rozpoznateľným signálom a rolou. Obstarávanie oznámi dodávateľa, produktový vlastník účel, technický tím model a prevádzka objem. Nový zdroj, atribút, skupina ľudí alebo automatizované rozhodnutie môže prekročiť pôvodnú hranicu ². Vlastník porovná zmenu s uloženými faktmi a rozhodne, či stačí aktualizácia, nové opatrenie alebo opakovanie DPIA.

Pravidelná kontrola s určeným termínom doplní udalosti o skutočné používanie, incidenty, sťažnosti, výnimky a účinnosť opatrení. Preskúmanie môže pôvodný výsledok potvrdiť; jeho cieľom je zachytiť podstatnú zmenu, nie vytvoriť dokument pri každej drobnosti.

Tri pracovné preverenia bez skratiek

Pri príklade sa oplatí oddeliť názov nástroja od rozhodnutia, pretože rovnaká aplikácia môže v jednej organizácii iba radiť dokumenty a v druhej vytvárať skóre ovplyvňujúce prístup človeka k práci, úveru alebo zdravotnej službe. Každý scenár preto opíšte cez osoby, údaje, frekvenciu, dosah, očakávanie, možnosť vyhnúť sa spracúvaniu a konkrétny následok, nie cez všeobecné tvrdenie, že technológia je nová alebo bežná. Potom zmeňte jeden rozhodujúci fakt a skontrolujte, či sa výsledok testu primerane pohne, lebo protifakt odhalí skryté pravidlo, ktoré tím používal bez pomenovania. Ak sa záver nezmení ani po výraznom rozšírení rozsahu, citlivosti alebo účinku, je potrebné znovu preskúmať logiku a zdroje dôkazu.

Prvý príklad: malý obchod chce posielať občasný newsletter existujúcim zákazníkom z vlastného zoznamu. Nevykonáva profilovanie, nekombinuje externé súbory a nesleduje správanie. Na týchto obmedzených faktoch môže odôvodnene dospieť k záveru, že vysoké riziko nie je pravdepodobné ¹. Záver sa zmení, ak pribudne rozsiahle bodovanie záujmov.

Druhý príklad: zamestnávateľ plánuje systém, ktorý nepretržite hodnotí výkon a odporúča rozhodnutia o odmenách. Hodnotenie, systematické monitorovanie, zraniteľné postavenie a významný účinok sa prekrývajú ². Taký súbeh smeruje k DPIA; označenie projektu za „pilot“ neodstraňuje reálne spracúvanie ¹.

Tretí príklad: poskytovateľ zdravotnej služby spája údaje o pacientoch s novým predikčným nástrojom. Osobitné kategórie, rozsah a inovatívne použitie môžu vytvoriť vysoké riziko ¹. DPIA musí oddeliť klinický prínos od otázky, či sú jednotlivé dátové toky nevyhnutné.

Príklady nie sú univerzálnymi zoznamami. Každý záver sa opiera o presne vymedzené fakty, príslušné kritériá a aktuálnu kontrolu zoznamov.

Pri pracovnom preverení napíšte aj opačný fakt, ktorý by záver zmenil. Pri newsletteri to môže byť rozsiahle spájanie správania, pri monitorovaní zamestnancov odstránenie významného účinku nestačí automaticky, ak zostane sústavné sledovanie zraniteľnej skupiny, a pri zdravotnom nástroji môže menší izolovaný súbor znížiť rozsah bez odstránenia citlivosti. Táto protiváha preverí, či tím rozumie dôvodu výsledku alebo iba napodobnil príklad.

Príklady používajte po aplikácii právneho testu, nie namiesto neho. Podobnosť názvu projektu nepreukazuje podobnosť rizika. Dva systémy na „plánovanie zmien“ sa môžu líšiť tým, že jeden iba ponúkne voľné smeny a druhý boduje zdravie, dochádzku a výkon s priamym účinkom na príjem. Rozhodovací záznam má preto vždy začať vlastnými faktmi.

Časté otázky pri rozhodovaní

Pred uzavretím odpovede skontrolujte, či otázka smeruje k právnemu testu, k obsahu následnej DPIA alebo k prevádzkovému preskúmaniu, pretože tieto tri kroky používajú rozdielne dôkazy a nemajú sa zlievať do jedného neurčitého schválenia. Rozhodnutie „áno“ nepreukazuje, že plánované opatrenia už znížili riziko, a rozhodnutie „nie“ zase neznamená, že záznam môže zostať bez vlastníka alebo časového obmedzenia. Pri každej odpovedi preto uchovajte hranicu, na ktorej platí, a spúšťač, ktorý vyžaduje nové posúdenie. Čitateľ tak dostane použiteľné pravidlo bez toho, aby sa z často kladenej otázky stala náhrada analýzy vlastného spracúvania.

Je DPIA povinná pri každom použití AI?

Nie. Článok 35 sa viaže na pravdepodobné vysoké riziko, nie na nálepku technológie ¹. AI môže byť súčasťou povinného prípadu, ak napríklad rozsiahlo hodnotí ľudí a výsledok má významný účinok. Pri obmedzenom nástroji bez takých vlastností treba stále zdokumentovať test, ale výsledok môže byť „DPIA netreba“ ².

Stačia dve kritériá na automatické „áno“?

Nie. WP248 uvádza dve kritériá ako praktický orientačný bod ², ktorý EDPB podporil ¹. Nie je to zákonná aritmetika. Jedno mimoriadne silné kritérium môže postačovať, kým pri inom súbehu treba posúdiť intenzitu, rozsah a následky.

Môže negatívny zoznam ukončiť kontrolu?

Zoznam príslušného orgánu je dôležitý vstup ³, no rozhodnutie stále musí zodpovedať reálnemu spracúvaniu. Ak sa projekt zmení alebo sa objaví vysoké riziko, stará položka nezachráni neaktuálne odôvodnenie ¹.

Čo sa stane po rozhodnutí „áno“?

Tím vypracuje štyri časti DPIA podľa článku 35 ²: opis, nevyhnutnosť a primeranosť, riziká a opatrenia. Ak napriek opatreniam zostane vysoké riziko, treba pred spracúvaním posúdiť predchádzajúcu konzultáciu ¹.

Je vzor DPIA od EDPB povinný?

Nie, vzor prijatý EDPB 14. apríla 2026 nie je povinný, nevytvára nový dôvod na DPIA a prevádzkovateľovi ponecháva voľbu metodiky ⁴; organizácii bez vlastného postupu poskytuje bezplatnú štruktúru a pri zavedenom procese slúži na overenie. Hoci sa konzultácia skončila 9. júna 2026, oficiálna stránka naďalej uvádza, že vzor bude po konzultácii dokončený ⁵.

Treba konzultovať názory ľudí?

Ak je to vhodné, prevádzkovateľ má zisťovať názory dotknutých osôb alebo ich zástupcov ¹. Výnimka môže súvisieť s ochranou obchodných či verejných záujmov alebo bezpečnosťou spracúvania, no dôvod treba vedieť vysvetliť.

Kedy sa rozhodnutie otvorí znova?

Pri zmene operácie alebo rizika. Článok 35 počíta s preskúmaním spracúvania oproti DPIA ² a pokračujúci prístup zahŕňa nové údaje, účel, rozsah aj technológiu. Záznam preto vždy uzavrite vlastníkom, dátumom a konkrétnym spúšťačom.

Krátka odpoveď pri každej otázke má rovnakú logiku: najprv fakt, potom právny test a napokon vykonateľný krok. Čitateľ tak vie rozlíšiť povinnosť od usmernenia, vidí pravú zápornú vetvu a nestratí pokračovanie po rozhodnutí. Ak sa odpoveď nedá spojiť s konkrétnou spracovateľskou operáciou, je ešte príliš všeobecná na použitie.