P.I.A.: Ocena wpływu na prywatność

1) Cel i zakres

Cel: systematyczne określanie i zmniejszanie zagrożeń dla praw i wolności osób, których dane dotyczą, podczas zmiany produktu/infrastruktury iGaming.
Zasięg: nowe/znacząco zmienione funkcje, modele zwalczania nadużyć finansowych i RG, wdrożenie dostawców SDK/PSP/KYC, migracje danych, testy A/B z personalizacją, transfery transgraniczne, profilowanie.

2) Gdy wymagane jest P.I.A./DPIA

• Profilowanie/nadzór na dużą skalę (analityka behawioralna, punktacja ryzyka, wyzwalacze RG).
• Obsługa kategorii specjalnych (aktywność biometryczna, podatność na zagrożenia dla zdrowia/RG).
• Połączenie zestawów danych stwarzających nowe ryzyko (łączenie danych marketingowych i płatniczych).
• Systematyczne monitorowanie publicznie dostępnego obszaru (np. czaty strumieniowe).
• Transmisje transgraniczne poza EOG/Wielką Brytanią (w połączeniu z DTIA).
• Istotne zmiany w celach/podstawach lub pojawienie się nowych dostawców/podwykonawców.
• Jeśli ryzyko jest niskie, wystarczy badanie przesiewowe PIA i krótki wpis do ROPA.

3) Role i obowiązki

Inspektor Ochrony Danych - właściciel metodologii, niezależna ocena, rezydualne pojednanie ryzyka, kontakt nadzorczy.
Produkt/Inżynieria - inicjator, opisuje cele/przepływy, wdraża środki.
Bezpieczeństwo/SRE - TOM: szyfrowanie, dostęp, rejestrowanie, DLP, testy.
Dane/BI/ML - minimalizacja, anonimizacja/pseudonimizacja, zarządzanie modelami.
Legalność/zgodność - podstawy prawne, DPA/SCC/IDTA, zgodność z przepisami lokalnymi.
Marketing/CRM/RG/Payments - właściciele domeny danych i procesów.

4) Proces P.I.A./DPIA (end-to-end)

1. Inicjacja i badanie przesiewowe (w CAB/Change): krótki kwestionariusz "Czy DPIA jest potrzebne? ».
2. Mapowanie danych (mapa danych): źródła → pola → cele → podstawy → odbiorcy → okresy przechowywania → geografia → subprocesory.
3. Ocena legalności i konieczności: wybór podstawy prawnej (umowa/obowiązek prawny/LI/zgoda), test LIA (równowaga interesów) w uzasadnionych interesach.
4. Identyfikacja ryzyka: zagrożenia dla poufności, integralności, dostępności, praw podmiotów (zautomatyzowane decyzje, dyskryminacja, wtórne wykorzystanie).
5. Punktacja ryzyka: prawdopodobieństwo (L 1-5) × uderzenie (I 1-5) → R (1-25); strefy koloru (zel/żółty/pomarańczowy/czerwony).
6. Plan działania (TOM): zapobiegawczy/detektywistyczny/naprawczy - wraz z właścicielami i terminami.
7. Ryzyko rezydualne: powtarzające się punktowanie po zastosowaniu środków; go/conditioned go/no-go solution with high residual risk - consultation with supervision.
8. Commit and Run: Raport DPIA, Aktualizacje RoPA/Polityka/Pliki cookie/CMP, Dokumenty kontraktowe.
9. Monitorowanie: KRI/KPI, przeglądy DPIA dotyczące zmian lub incydentów.

5) Macierz ryzyka prywatności (przykład)

Prawdopodobieństwo (L): 1 jest rzadkie; 3 - okresowe; 5 - częste/stałe.
Wpływ (I): uwzględnia objętość PII, wrażliwość, geografie, wrażliwość uczestników, odwracalność szkód, skutki regulacyjne.

6) Zestaw środków technicznych i organizacyjnych (TOM)

Minimalizacja i integralność: zbieranie tylko niezbędnych pól; oddzielenie identyfikatorów i zdarzeń; Skarbiec danych/RAW → STREFY KUROWANE.
Pseudonimizacja/anonimizacja: stabilny pseudo-ID, tokenizacja, k-anonimowość dla raportów.
Bezpieczeństwo: szyfrowanie w czasie odpoczynku/tranzytu, KMS i rotacja klucza, SSO/MFA, RBAC/ABAC, dzienniki WORM, DLP, EDR, secret manager.
Kontrola dostawcy: DPA, rejestr podwykonawców, audyt, test incydentów, brak recyklingu.
Prawa podmiotów: procedury DSAR, mechanizmy sprzeciwu, w miarę możliwości „nieśledzenie”, przegląd decyzji krytycznych.
Przejrzystość: aktualizacja zasad, baner cookies, centrum preferencji, wersja listy sprzedawców.
Jakość i uczciwość modeli: badania stronniczości, możliwość wyjaśnienia, okresowa rekalibracja.

7) Komunikacja z LIA i DTIA

LIA (uzasadniona ocena interesów): jest przeprowadzana, jeśli fundacja jest LI; obejmuje test celowości, konieczności i równowagi (szkoda/korzyść, oczekiwania użytkowników, środki łagodzące).
DTIA (ocena wpływu transferu danych): obowiązkowa w SCC/IDTA dla krajów nieadekwatnych; określa otoczenie prawne, dostęp organów, środki techniczne (klucze E2EE/client), terytorium kluczy.

8) Szablon raportu DPIA (struktura)

1. Kontekst: inicjator, opis funkcji/procesu, cele, publiczność, czas.
2. Podstawy prawne: Contract/LO/LI/Consent; Streszczenie LIA.
3. Mapa danych: kategorie, źródła, odbiorcy, sub-procesory, geografia, retencja, profilowanie/automatyzacja.
4. Ocena ryzyka: wykaz zagrożeń, L/I/R, prawa dotknięte ryzykiem, ewentualne szkody.
5. Środki: TOM, właściciele, terminy, kryteria wykonania (KPI).
6. ryzyko rezydualne i decyzja (go/conditional/no-go); jeśli wysoki - plan konsultacji z nadzorem.
7. Plan monitorowania: KRI, wydarzenia do zmiany, powiązanie z procesem incydentu.
8. Podpisy i zatwierdzenia: Produkt, Bezpieczeństwo, Prawo, DPO (wymagane).

9) Integracja z wydaniami i CAB

Brama DPIA: dla ryzykownych zmian - obowiązkowy artefakt w CAB.
Funkcja-flagi/kanarki: umożliwia funkcje z ograniczoną publicznością, zbieranie sygnałów prywatności.
Zmiana dziennika prywatności: wersja Polityki, lista sprzedawców/SDK, aktualizacje CMP, data wejścia.
Plan rollback: wyłączanie SDK/funkcji, usuwanie/archiwizowanie danych, odwoływanie kluczy/dostępu.

10) P.I.A./DPIA Performance Metrics

Zasięg:% uwolnień przesiewanych pod kątem PIA ≥ 95%,% zmian ryzyka przy DPIA ≥ 95%.
Czas do DPIA: mediana czasu od rozpoczęcia do ustąpienia ≤ X dni.
Jakość: odsetek DPIA o wymiernej miarze KPI ≥ 90%.
DSAR SLA: potwierdzenie ≤ 7 dni, wykonanie ≤ 30; Komunikacja DPIA dla nowych funkcji.
Incydenty: odsetek wycieków/skarg związanych ze strefami bez DPIA → 0;% zgłoszeń po 72 godzinach - 100%.
Gotowość dostawcy:% ryzykownych dostawców z DPA/SCC/DTIA - 100%.

11) Przypadki domeny (iGaming)

A) Nowy dostawca biometrii z KYC

Ryzyko: kategorie specjalne, jubilacja, wtórne wykorzystanie obrazów.
Środki: przechowywanie w dostawcy, ścisła DPA (zakaz szkolenia danych), szyfrowanie, usuwanie za pośrednictwem SLA, dostawca awaryjny, kanał DSAR.

B) Antyfrod model punktacji behawioralnej

Ryzyko: zautomatyzowane decyzje, dyskryminacja, wyjaśnienie.
Środki: przegląd rozwiązań o wysokim wpływie na człowieka, wyjaśnienie, kontrole stronniczości, dziennik przyczynowy, minimalizowanie cech.

C) Marketing-SDK/retargeting

Ryzyko: śledzenie bez zgody, ukryte przesyłanie identyfikatorów.
Środki: CMP (zgoda granularna), znakowanie po stronie serwera, tryb anon-IP, umowny zakaz realizacji celów wtórnych, przejrzystość w polityce.

D) Wpisy dotyczące odpowiedzialnego hazardu (RG)

Ryzyko: wrażliwość danych, nieprawidłowe flagi → szkoda dla użytkownika.
Środki: miękkie interwencje, prawo do odwołania, ograniczony dostęp, dziennik decyzji, szkolenia wspierające.

E) Migracja danych do chmury/nowego regionu

Ryzyko: transgraniczny, nowy podwykonawca przetwórstwa.
Środki: SCC/IDTA + DTIA, klucze w UE, segmentacja środowisk, test incydentów, aktualizacja rejestru podwykonawców.

12) Listy kontrolne

12. 1 badanie przesiewowe PIA (szybkie)

• Czy istnieje profilowanie/automatyzacja rozwiązań?
• Czy przetwarzane są specjalne kategorie/dane dla dzieci?
• Nowi dostawcy/podwykonawcy/kraje?
• Czy cele/przyczyny przetwarzania zmieniają się?
• Duże ilości/grupy podatne na zagrożenia?

→ Jeśli tak ≥ 1 -2 punktów, uruchom DPIA.

12. 2 Sprawozdanie DPIA o gotowości

• Aktualizacja mapy danych i RoPA
• LIA/DTIA (w stosownych przypadkach) zakończone
• Przypisane i wymierne środki (TOM)
• Ryzyko rezydualne oceniane i uzgadniane przez inspektora ochrony danych
• Polityka/Pliki cookie/CIW
• Zapisane ślady i wersje

13) Szablony (fragmenty)

13. 1 Deklaracja obiektywna (przykład):

„Zapewnienie zapobiegania nadużyciom finansowym w wycofywaniu z wykorzystaniem punktów behawioralnych na uzasadnionym interesie, z minimalizacją danych i przeglądem danych w odniesieniu do rozwiązań ograniczających dostęp do funduszy”.

13. 2 środki KPI (przykład):

Model redukcji FNR o P95 bez wzrostu FPR> 2 p.p.
Czas reakcji DSAR na nowe funkcje ≤ 20 dni.
Usunięcie biometrii 24 godziny po weryfikacji, dziennik potwierdzenia - 100%.

13. 3 Pole w RoPA (dodatek):

14) Przechowywanie i audyt artefaktów

DPIA/LIA/DTIA, rozwiązania, wersje Policy/banner, rejestr DPA/SCC/sub-processor, dzienniki zgody CMP - przechowywać centralnie (WORM/versioning).
Audyt raz w roku: pobieranie próbek DPIA, weryfikacja wdrożonych środków, kontrola mierników, badanie DSAR.

15) Plan działania w zakresie wdrażania

Tygodnie 1-2: wdrożenie badań przesiewowych PIA w CAB, zatwierdzenie szablonu DPIA, właścicieli pociągów.
Tygodnie 3-4: uruchomienie Mapa danych/RoPA, CIW/baner, rejestry sprzedawców, przygotowanie DPA/SCCs/DTIA.
Miesiąc 2: przeprowadzenie pierwszego DPIA dotyczącego przepływów wysokiego ryzyka (CCP/zwalczanie nadużyć finansowych/marketing), powiązanie KPI.
Miesiąc 3 +: DPIA kwartalne opinie, uprzedzenia audyty modeli, wiertła testowe, ciągłe ulepszenia.

TL; DR

PIA/DPIA = wczesne badanie przesiewowe + mapa danych + legalność (LIA/DTIA) + ocena ryzyka i środków (TOM) + uzgodnione ryzyko resztowe w ramach kontroli DPO + monitorowanie mierników. Włączyliśmy CAB i wydania - i zamieniliśmy prywatność w kontrolowany, weryfikowalny proces, a nie w „pracę ogniową”.