Europejska Rada Ochrony Danych przyjęła 14 kwietnia 2026 r. wspólny wzór oceny skutków dla ochrony danych. Po blisko ośmiu latach stosowania RODO praktyka DPIA ewoluowała w kilkunastu krajowych odmianach – ten dokument ma ją wreszcie ujednolicić. Dla polskich administratorów oznacza to namacalną zmianę. Pojawia się wspólne odniesienie, do którego trudniej będzie odpowiedzieć „nasz szablon jest inny, bo dysponujemy własną metodyką”.
Dlaczego to nie jest kolejna wytyczna do segregatora
Artykuł 35 RODO wymaga przeprowadzenia DPIA przed rozpoczęciem przetwarzania, które „z dużym prawdopodobieństwem może powodować wysokie ryzyko”. Przepis zwięzły, lecz przez lata każdy organ nadzorczy interpretował tę przesłankę w odmienny sposób. Francuski CNIL wybrał odrębną ścieżkę i zbudował dedykowane oprogramowanie wspierające administratorów. Po stronie niemieckiej DSK publikowała wspólne wykazy operacji wymagających DPIA wraz z metodycznymi opracowaniami. PUODO wybrał wariant skromniejszy – komunikat Prezesa UODO z 17 czerwca 2019 r. ustalił wykaz rodzajów operacji wymagających oceny skutków, ale wzoru samego dokumentu zabrakło. Lukę wypełnili praktycy rynku, każdy samodzielnie. Polski rynek szablonów DPIA wyglądał więc tak, jak musiał wyglądać w takich warunkach – każdy autor uważał swoją wersję za najlepszą.
W rezultacie administrator z grupy kapitałowej działającej w pięciu państwach członkowskich miał dwa wyjścia. Albo prowadził pięć różnych DPIA dla tego samego procesu, albo wybierał jeden wariant i liczył, że w razie kontroli organ nie zakwestionuje wyboru. To właśnie ta niespójność, w mojej ocenie, była jednym z największych wyzwań przy wyborze modelu, w jakim należy przeprowadzić DPIA. Obowiązek formalny istniał, ale jego treść zależała od adresu organu nadzorczego.
Wzór EDPB wchodzi w tę przestrzeń z dwiema funkcjami. Pierwsza jest oczywista: wyznacza praktyczny punkt odniesienia i precyzuje, co minimum powinno znaleźć się w DPIA, by spełniała wymogi art. 35 ust. 7 RODO. Druga jest mniej widoczna, ale praktycznie ważniejsza – uważam, że szablon będzie odgrywał istotną rolę w postępowaniach transgranicznych. Organ wiodący, który dostaje dokumentację o znanej strukturze, krócej ją analizuje i szybciej dociera do meritum. Trzeba przy tym pamiętać, że dokument do 9 czerwca 2026 r. jest objęty publicznymi konsultacjami EDPB. Dopiero po nich krajowe organy nadzorcze zdecydują, czy przyjmą go jako jedyny standard, czy jako „meta-szablon”, do którego zharmonizują własne formularze. Wzór, podobnie jak inne narzędzia EDPB, pozostaje rekomendacją, a nie aktem prawnie wiążącym, który zastępowałby krajowe formularze czy listy z art. 35 ust. 4 RODO.
Co RODO mówi o DPIA – i o czym warto pamiętać w praktyce
Warto przypomnieć podstawy, bo praktyka pokazuje, że bywają interpretowane różnie. Artykuł 35 ust. 7 RODO wymienia cztery elementy, które DPIA musi zawierać: systematyczny opis planowanych operacji przetwarzania i ich celów, w tym – w stosownym przypadku – prawnie uzasadnionego interesu realizowanego przez administratora; ocenę niezbędności i proporcjonalności operacji w stosunku do celów; ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą; oraz środki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia, środki bezpieczeństwa i mechanizmy mające zapewnić ochronę danych osobowych i wykazać przestrzeganie rozporządzenia. W każdym z tych punktów tkwi jednak istotna trudność interpretacyjna.
Częstą obserwacją z praktyki jest zacieranie granicy między DPIA a analizą ryzyka bezpieczeństwa informacji. Te dwa dokumenty mają inny przedmiot oceny. Analiza ryzyka bezpieczeństwa patrzy na aktywa od strony organizacji i zadaje pytanie: co stanie się z naszą firmą, jeśli te dane wyciekną. DPIA odwraca perspektywę i pyta, jak operacja wpłynie na prawa i wolności osoby, której dane dotyczą. Z mojego doświadczenia wynika, że szablon EDPB powinien pomóc rozdzielić obie perspektywy – co bywa istotnym ułatwieniem w rozmowach z zespołami biznesowymi, gdy trzeba pokazać, dlaczego sama analiza zgodna z ISO 27005 nie pokrywa wymogu DPIA z RODO.
Drugą częstą trudnością jest postrzeganie DPIA jako jednorazowego ćwiczenia. Tymczasem art. 35 ust. 11 RODO wskazuje, że w razie potrzeby, przynajmniej gdy zmienia się ryzyko wynikające z operacji przetwarzania, administrator dokonuje przeglądu, by stwierdzić, czy przetwarzanie odbywa się zgodnie z oceną skutków. W praktyce oznacza to, że ocena z 2019 r. dla systemu, który w międzyczasie został rozbudowany o integrację z chmurą publiczną i moduł AI, zwykle wymaga przeglądu i aktualizacji. Sama struktura art. 35 RODO zakłada, że dokument nadąża za przetwarzaniem.
Kontekst: rok wzmożonej aktywności EDPB
Kwietniowe ogłoszenie szablonu nie pojawiło się w próżni. W połowie kwietnia EDPB przyjęła także wytyczne dotyczące przetwarzania danych osobowych do celów badań naukowych, przyspieszyła prace nad wytycznymi o anonimizacji i zatwierdziła pierwszy europejski znak ochrony danych jako narzędzie transferów. 9 kwietnia ukazał się roczny raport za 2025 r. W mojej ocenie Rada zmienia tryb pracy – z wyjaśniającego na narzędziowy. Pod koniec kwietnia przypomniała jeszcze o dziesięcioleciu RODO i podsumowała ewolucję europejskiego krajobrazu ochrony danych.
Dla praktyków oznacza to jedno: rośnie poprzeczka oczekiwań. Organy nadzorcze, mając do dyspozycji szablon EDPB, będą podczas kontroli pytać, dlaczego administrator z niego nie skorzystał. Odpowiedź „dysponujemy własnym szablonem” może przestać wystarczać. Spodziewam się, że nowy wzór szybko stanie się punktem odniesienia także w polskich postępowaniach.
Praktyczne wnioski dla polskich organizacji
Pierwszą rzeczą, jaką warto zrobić jeszcze przed zakończeniem konsultacji EDPB (do 9 czerwca 2026 r.), jest spokojne zestawienie szablonu z wewnętrznym wzorem DPIA – pozwoli to równolegle zgłosić uwagi w toku konsultacji i przygotować organizację do późniejszego stosowania finalnego dokumentu. Najwięcej zwykle widać w trzech miejscach: opisie zaangażowanych stron przetwarzania (administrator, podmiot przetwarzający, dalsze podmioty przetwarzające, odbiorcy), sekcji konsultacji z osobami, których dane dotyczą, oraz w opisie przepływów transgranicznych.
W kolejnym kroku można rozważyć przegląd rejestru przeprowadzonych DPIA pod kątem ocen, które mogłyby skorzystać na aktualizacji. Sam zwykle zaczynam od prostego filtra – wiek dokumentu (orientacyjnie powyżej dwóch lat) oraz informacja o istotnej modyfikacji systemu, którego ocena dotyczyła – ale każda organizacja może dobrać własne kryteria, dopasowane do skali i ryzyka. Masowe przepisywanie wszystkiego mija się z celem. Lepiej zacząć od operacji o najwyższym ryzyku: profilowania, monitorowania pracowników, systemów wspieranych przez AI.
Trzeci punkt to procedura wewnętrzna. Warto sprawdzić, czy odsyła do konkretnego szablonu i czy ten szablon jest spójny z wymogami art. 35 RODO. W wielu organizacjach procedura była pisana raz, w 2018 r., i od tamtej pory nie była rewidowana. Wymiana wzoru jest właściwą okazją, by przy okazji zaktualizować całą procedurę.
Warto też pamiętać o osobach, które DPIA wypełniają. Kluczowa jest nie tyle sama struktura formularza, co przygotowanie zespołu, który z niego korzysta – świadomość różnicy między ryzykiem operacyjnym a ryzykiem dla praw osób, których dane dotyczą, jest podstawowym warunkiem rzetelnej oceny. Wzór EDPB porządkuje odpowiedzi i ułatwia ich strukturyzację. Stąd dobrym uzupełnieniem wprowadzenia nowego szablonu jest krótkie szkolenie zespołu odpowiedzialnego za DPIA – tak, by osoby wypełniające dokument znały kontekst poszczególnych rubryk i ich wagę dla całościowej oceny ryzyka.
Ostatnia kwestia bywa pomijana, choć jest ważna. Szablon EDPB nie zwalnia z obowiązku konsultacji z PUODO w przypadkach z art. 36 RODO. Jeżeli ocena wykazała wysokie ryzyko, którego administrator nie potrafi zminimalizować, droga do organu nadzorczego pozostaje obowiązkowa. Nowy wzór ułatwia przygotowanie wniosku, ale samej konsultacji nie zastępuje.
Źródła
- EDPB, Enhancing compliance and consistency: EDPB adopts DPIA template (14.04.2026): https://www.edpb.europa.eu/news/news/2026/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_en
- EDPB, EDPB brings clarity to data processing for scientific research, speeds up the finalisation of the anonymisation guidelines and approves first European data protection seal as a tool for transfers (16.04.2026): https://www.edpb.europa.eu/news/news/2026/edpb-brings-clarity-data-processing-scientific-research-speeds-finalisation_en
- EDPB, EDPB annual report 2025: supporting stakeholders through guidance and dialogue (9.04.2026): https://www.edpb.europa.eu/news/news/2026/edpb-annual-report-2025-supporting-stakeholders-through-guidance-and-dialogue_en
- EDPB, Marking 10 years of the GDPR: the evolution of the European data protection landscape (27.04.2026): https://www.edpb.europa.eu/news/news/2026/marking-10-years-gdpr-evolution-european-data-protection-landscape_en
- Komunikat Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 35–36
Artykuł pochodzi z newslettera AURACO (2026-05). Autor: Piotr Janiszewski.
