Od bezplatného dotazníka k dokumentu v ruke: správa o riziku, DPIA a balík dôkazov

Ak ste vyplnili náš bezplatný dotazník o uplatniteľnosti Aktu o UI a GDPR, už viete, ktoré povinnosti sa na vašu firmu vzťahujú — dotazník zostáva úplne bezplatný a na tom sa nič nemení. Problém, ktorý teraz riešime, je iný: vedieť, čo sa vzťahuje, ešte nie je dokument, ktorý môžete niekomu odovzdať. Keď banka žiada zábezpeku pri úvere, investor robí due diligence pred vstupom do firmy, alebo veľký odberateľ pošle dotazník k previerke dodávateľa, nikto z nich neprijme zhrnutie na obrazovke — chce súbor s dátumom, podpisom a odkazom na konkrétny článok nariadenia. Preto pridávame tri nové jednorazové nákupy, ktoré výsledok bezplatného dotazníka premenia na dokument, ktorý viete odovzdať tretej strane.

Čo je nové

Správa o klasifikácii rizika podľa Aktu o UI — 49 €

Ide o brandovaný export výsledku z bezplatného dotazníka s odkazmi na konkrétne články — ten istý výstup analytického nástroja, ale sformátovaný ako formálny dokument: s dátumom, rozsahom a citovanými ustanoveniami nariadenia (EÚ) 2024/1689. Použijete ho vtedy, keď bankový pracovník, audítor alebo partner v procese previerky žiada písomný doklad o klasifikácii rizika vašej firmy, nie len ústne uistenie.

DPIA generátor — 69 €

Posúdenie vplyvu na ochranu osobných údajov vypracované pomocou AI modelu, štruktúrované presne podľa požiadaviek článku 35 ods. 7 GDPR: systematický opis operácií spracúvania, posúdenie nevyhnutnosti a primeranosti, posúdenie rizika pre práva dotknutých osôb a opatrenia na jeho zmiernenie. Dokument vychádza z konkrétnych odpovedí, ktoré ste už zadali v bezplatnom dotazníku, nie zo všeobecnej šablóny.

Plný balík — 99 €

Balík obsahuje oba dokumenty politík (Politiku používania AI a Zásady ochrany osobných údajov), správu o klasifikácii rizika, DPIA a nový úvodný list — Balík dôkazov pre audit —, ktorý indexuje všetky dokumenty na jednom mieste, aby audítor nemusel hľadať, ktorý súbor zodpovedá ktorej požiadavke.

Kedy naozaj potrebujete DPIA?

Toto je otázka, ktorú mnohé MSP nesprávne považujú za rečnícku. Článok 35 ods. 3 GDPR a usmernenia bývalej pracovnej skupiny podľa článku 29 (dokument WP248) uvádzajú konkrétne kritériá, nie všeobecný pocit 'citlivosti'. DPIA je povinná, ak spracúvanie napĺňa jedno alebo viac z nasledujúcich kritérií:

• Profilovanie alebo systematické hodnotenie fyzických osôb s právnym účinkom alebo podobne významným vplyvom na ne — napr. automatizované schválenie alebo zamietnutie úveru, poistenia alebo pracovného miesta.
• Rozsiahle spracúvanie osobitných kategórií údajov podľa článku 9 GDPR — zdravotné údaje, biometrické údaje, údaje o etnickom pôvode alebo sexuálnej orientácii, spracúvané systematicky a vo veľkom rozsahu.
• Systematické monitorovanie verejne prístupného priestoru alebo správania fyzických osôb — kamerový systém s analytikou, sledovanie zamestnancov, behaviorálna analýza zákazníkov.
• Spracúvanie týkajúce sa zraniteľných dotknutých osôb — detí, zamestnancov v hierarchickom vzťahu závislosti, pacientov alebo žiadateľov o azyl, u ktorých nerovnováha moci obmedzuje reálnu slobodu súhlasu.
• Použitie novej alebo inovatívnej technológie, resp. vysokorizikového systému v zmysle Aktu o UI — tu sa oba predpisy doslova prekrývajú, pretože vysokorizikový systém podľa prílohy III takmer vždy naplní aj toto kritérium pre DPIA.

V praxi WP248 odporúča DPIA vždy, keď je súčasne prítomných dvoje alebo viac z týchto kritérií — a AI nástroje zabudované do HR softvéru, chatbotov v zákazníckej podpore alebo nástrojov na hodnotenie bonity bežne pokrývajú aspoň dve naraz. Preto DPIA nie je formalita pridaná 'pre istotu', ale konkrétna zákonná požiadavka, ktorú mnohé firmy s aktívnymi AI nástrojmi už napĺňajú bez toho, aby o tom vedeli — alebo ju vôbec nenapĺňajú bez toho, aby si uvedomili riziko.

Ak ste bezplatný dotazník už vyplnili, prechod ku konkrétnemu dokumentu trvá pár minút — výsledok sa priamo použije na vygenerovanie správy o riziku alebo DPIA bez opätovného zadávania údajov.