Článok 39 Posúdenie vplyvu na ochranu údajov

1.   Ak typ spracúvania, najmä s využitím nových technológií a s ohľadom na povahu, rozsah, kontext a účely spracúvania, pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, prevádzkovateľ pred spracúvaním vykoná posúdenie vplyvu plánovaných spracovateľských operácií na ochranu osobných údajov. Pre súbor podobných spracovateľských operácií, ktoré predstavujú podobné vysoké riziká, sa môže vykonať jedno posúdenie.

2.   Prevádzkovateľ sa počas vykonávania posúdenia vplyvu na ochranu údajov radí so zodpovednou osobou.

3.   Posúdenie vplyvu na ochranu údajov uvedené v odseku 1 sa vyžaduje najmä v prípadoch:

4.   Európsky dozorný úradník pre ochranu údajov vypracuje a zverejní zoznam tých druhov spracovateľských operácií, ktoré podliehajú požiadavke na posúdenie vplyvu na ochranu údajov podľa odseku 1.

5.   Európsky dozorný úradník pre ochranu údajov môže stanoviť a zverejniť aj zoznam druhov spracovateľských operácií, v prípade ktorých sa nevyžaduje posúdenie vplyvu na ochranu údajov.

6.   Pred prijatím zoznamov uvedených v odsekoch 4 a 5 tohto článku Európsky dozorný úradník pre ochranu údajov požiada Európsky výbor pre ochranu údajov zriadený na základe článku 68 nariadenia (EÚ) 2016/679 o preskúmanie takýchto zoznamov v súlade s článkom 70 ods. 1 písm. e) uvedeného nariadenia, ak sa týkajú operácií spracúvania zo strany prevádzkovateľa, ktorý koná spoločne s jedným alebo viacerými prevádzkovateľmi, ktorí nie sú inštitúciami ani orgánmi Únie.

7.   Posúdenie obsahuje aspoň:

8.   Pri posudzovaní vplyvu spracovateľských operácií vykonávaných relevantnými sprostredkovateľmi sa náležite sleduje, či títo sprostredkovatelia, iní ako inštitúcie a orgány Únie, dodržiavajú schválené kódexy správania uvedené v článku 40 nariadenia (EÚ) 2016/679, a to najmä na účely posúdenia vplyvu na ochranu údajov.

9.   Prevádzkovateľ sa podľa potreby usiluje získať názory dotknutých osôb alebo ich zástupcov na zamýšľané spracúvanie bez toho, aby bola dotknutá ochrana verejných záujmov alebo bezpečnosť spracovateľských operácií.

10.   Ak má spracúvanie podľa článku 5 ods. 1 písm. a) alebo b) právny základ v právnom akte prijatom na základe zmlúv, ktorý upravuje konkrétnu spracovateľskú operáciu alebo súbor daných operácií, a posúdenie vplyvu na ochranu údajov sa už vykonalo v rámci všeobecného posúdenia vplyvu pred prijatím tohto právneho aktu, odseky 1 až 6 tohto článku sa neuplatňujú, pokiaľ uvedený právny akt nestanovuje inak.

11.   Prevádzkovateľ v prípade potreby vykoná prehodnotenie s cieľom posúdiť, či sa spracúvanie uskutočňuje v súlade s posúdením vplyvu na ochranu údajov, a to aspoň vtedy, keď došlo k zmene rizika, ktoré predstavujú spracovateľské operácie.