# Posouzení vlivu na ochranu osobních údajů (DPIA): kdy je pro obec nebo školu povinné a jak na něj > Kdy musí obec nebo škola vypracovat posouzení vlivu na ochranu osobních údajů (DPIA) a jak postupovat správně? Zjistěte, u jakých technologií (kamerové systémy, AI, nové IT) je DPIA povinná, proč ji nedělat až po podpisu smlouvy a jak vám nová šablona EDPB z roku 2026 usnadní práci. - Publikováno: 2026-08-17 - Autor: Tým Váš Pověřenec - Kanonická URL: https://vaspoverenec.cz/clanky/posouzeni-vlivu-na-ochranu-osobnich-udaju-dpia-kdy-je-pro-obec-nebo-skolu-povinne/ - Témata: GDPR a ochrana osobních údajů, Obce a školy --- Posouzení vlivu na ochranu osobních údajů, běžně označované zkratkou DPIA (Data Protection Impact Assessment), patří mezi nástroje GDPR, o kterých obce a školy často vědí, ale v praxi je odsouvají na později – nebo si je pletou s běžnou dokumentací, kterou stejně musí mít. Přitom jde o jeden z mála nástrojů, který má smysl použít ještě před tím, než se nový systém nebo technologie nasadí, ne až poté, co se něco pokazí. ## Co DPIA je a kdy je povinná DPIA je v podstatě strukturovaná analýza rizik. Cílem je předem posoudit, jaký dopad bude mít plánované zpracování osobních údajů na práva a svobody fyzických osob, a najít opatření, která případná rizika snižují na akceptovatelnou úroveň. Povinnost provést DPIA vychází přímo z GDPR a týká se situací, kdy zpracování „může vzhledem ke své povaze, rozsahu, kontextu a účelům způsobit vysoké riziko pro práva a svobody fyzických osob". Tato formulace je záměrně obecná, a proto si Úřad pro ochranu osobních údajů vydává vlastní seznamy typů zpracování, u kterých DPIA vyžaduje automaticky. Pro obce a školy je klíčové umět rozpoznat, kdy se do této kategorie dostávají. Typickým příkladem je [rozsáhlejší kamerový systém](https://vaspoverenec.cz/kamerove-systemy/), zejména pokud obsahuje prvky rozpoznávání obličeje nebo sleduje veřejně přístupná místa ve velkém rozsahu. Dalším je nasazení nového informačního systému, který zpracovává citlivé údaje ve velkém objemu – třeba školní systém evidující zdravotní údaje žáků, nebo obecní systém propojující více zdrojů dat o občanech. Riziková je také jakákoliv forma systematického sledování nebo profilování, například hodnocení žáků na základě automatizovaně sbíraných dat, nebo nasazení AI nástroje, který s osobními údaji dále pracuje bez úplné kontroly nad tím, jak je zpracovává. ## Nejčastější chyba: DPIA až zpětně Častá chyba je vnímat DPIA jako jednorázový formulář, který se vyplní a uloží do šuplíku. Ve skutečnosti má DPIA smysl jen tehdy, když vzniká v okamžiku, kdy se o novém zpracování ještě rozhoduje – ideálně před podpisem smlouvy s dodavatelem nového systému, ne po jeho spuštění. Pokud se DPIA dělá až zpětně, ztrácí svůj hlavní účel, kterým je ovlivnit samotné nastavení zpracování, výběr technologie nebo rozsah sbíraných údajů. ## Co má posouzení obsahovat Samotné posouzení by mělo obsahovat: - popis plánovaného zpracování a jeho účelu, - zhodnocení, zda je zpracování v daném rozsahu skutečně nezbytné a přiměřené sledovanému cíli, - identifikaci konkrétních rizik pro dotčené osoby, - návrh opatření, která tato rizika zmírňují. Nejde o abstraktní právní rozbor, ale o praktickou otázku typu: co se stane, pokud tato data unikají, kdo k nim bude mít přístup, jak dlouho budou uložena a existuje méně invazivní způsob, jak dosáhnout stejného cíle. ## Role pověřence a konzultace s ÚOOÚ Nedílnou součástí procesu je zapojení [pověřence pro ochranu osobních údajů](https://vaspoverenec.cz/). Ten by měl být konzultován už ve fázi, kdy se o DPIA rozhoduje, a jeho doporučení by mělo být v dokumentu zaznamenáno – i v případě, že se s ním správce rozhodne neztotožnit. Pokud po zavedení navržených opatření zpracování stále představuje vysoké reziduální riziko, GDPR ukládá povinnost před samotným zpracováním konzultovat věc s Úřadem pro ochranu osobních údajů. Tento krok se v praxi využívá zřídka, ale existuje jako pojistka pro situace, kdy si správce sám není jistý, zda navržená opatření rizika dostatečně snižují. ## Šablona EDPB z roku 2026 Praktickou pomůckou navíc je nová šablona pro zpracování DPIA, kterou v roce 2026 přijala EDPB (Evropský sbor pro ochranu osobních údajů) s cílem sjednotit a zpřehlednit dokumentaci DPIA napříč členskými státy. Šablona obsahuje předem definovaná pole, která posouzení strukturovaně provedou krok za krokem – od popisu zpracování přes test nezbytnosti a přiměřenosti až po identifikaci rizik a návrh opatření. Použití šablony není povinné a nenahrazuje případné vlastní metodiky nebo formuláře, které si vede Úřad pro ochranu osobních údajů, ale pro obce a školy, které dosud žádnou pevnou strukturu DPIA neměly, může sloužit jako spolehlivý výchozí bod – a zároveň zajistí, že posouzení obstojí i v porovnání s přístupem, který uplatňují úřady v jiných členských státech. ## Proč se DPIA vyplatí i mimo GDPR Pro obce a školy má DPIA i praktický přesah mimo samotné GDPR. Dobře zpracovaná analýza rizik totiž zároveň slouží jako podklad pro rozhodování o veřejných zakázkách na nové IT systémy, pro jednání s dodavateli o smluvních zárukách nebo pro vysvětlení radě obce či vedení školy, proč se pro určitou technologii zvolilo konkrétní nastavení. Instituce, která si DPIA udělá poctivě a včas, tak nezíská jen soulad s GDPR, ale i lepší podklady pro samotné rozhodnutí, zda a jak nový systém nasadit. _V praxi je ale hlavní potíž jinde než v samotné metodice – rozpoznat včas, že konkrétní kamera, systém nebo AI nástroj DPIA vůbec vyžaduje, a přizvat k tomu pověřence dřív, než je smlouva s dodavatelem podepsaná. Pokud u vás tuto roli zastává pověřenec pro ochranu osobních údajů, je právě chystaný nákup nebo nasazení nové technologie ten správný moment, kdy se na něj obrátit – ne až po spuštění systému. Pokud si zpracování DPIA nebo jeho kontrola vyžaduje odbornou kapacitu navíc, tým Váš Pověřenec dokáže s posouzením pomoct i jako doplněk k vašemu stávajícímu pověřenci – _[_ozvěte se nám_](https://vaspoverenec.cz/#contact)_, rádi to s vámi probereme._