Jak AI może pomóc Inspektorowi Ochrony Danych (IOD) w urzędzie gminy?

Inspektor Ochrony Danych w urzędzie gminy ma na głowie rejestr czynności przetwarzania, oceny skutków dla ochrony danych, zgłoszenia naruszeń do UODO, klauzule informacyjne, opiniowanie umów z dostawcami i pytania od pracowników. AI może przejąć większość pracy tekstowej z tej listy: przygotować projekt każdego z tych dokumentów na podstawie opisu sytuacji. Nie zastąpi IOD, bo ocena ryzyka i decyzje z konsekwencjami prawnymi muszą pozostać po stronie człowieka. Ale może skrócić czas pisania z kilku godzin do kilkudziesięciu minut.

Co zajmuje IOD najbardziej i gdzie AI wchodzi do gry

Zapytaj dowolnego IOD w urzędzie gminy, co go pochłania. Zazwyczaj usłyszysz: aktualizacje Rejestru Czynności Przetwarzania po każdej zmianie systemu, DPIA przed nowym wdrożeniem, klauzule informacyjne do nowych formularzy, odpowiedzi na żądania mieszkańców, przeglądy umów powierzenia z dostawcami. Do tego szkolenia, opinie dla kierownictwa i bieżące pytania pracowników w stylu: "czy możemy nagrywać sesję rady na Teamsach?" albo "czy wysyłanie zestawień na prywatne maile pracowników jest zgodne z RODO?".

Każde z tych zadań to głównie czytanie i pisanie. Analiza dokumentu, wyciąganie wniosków, redagowanie tekstu według określonej struktury. Dokładnie tam AI radzi sobie najlepiej.

Jedno ważne zastrzeżenie: do AI nie wklejasz danych osobowych. Do przygotowania klauzuli informacyjnej, projektu DPIA ani odpowiedzi na żądanie mieszkańca AI potrzebuje opisu sytuacji. Sam opis wystarczy. Konkretne dane osobowe to osobna sprawa z osobną podstawą prawną i ewentualną umową powierzenia przetwarzania.

Rejestr Czynności Przetwarzania: nowy wpis w kilkanaście minut

RCP to dokument obowiązkowy z art. 30 RODO. W większości gmin liczy kilkadziesiąt do kilkuset pozycji. Każda czynność przetwarzania ma swoje pola: cel, podstawa prawna, kategorie danych osobowych, kategorie osób, których dane dotyczą, odbiorcy, transfer do państw trzecich, planowany termin usunięcia danych.

Problem pojawia się, gdy urząd wdraża nowy system albo zmienia istniejący proces. IOD musi dopisać nową pozycję albo zaktualizować starą. Żeby to zrobić dobrze, trzeba przeczytać umowę z dostawcą, regulamin usługi, opis działania systemu, wypisać przetwarzane dane, ustalić podstawę prawną, określić czas retencji. Kilka godzin na jeden solidny wpis.

AI dostaje opis systemu i umowę z dostawcą, a zwraca gotowy projekt wpisu z wypełnionymi polami. IOD sprawdza, uzupełnia, zatwierdza. Zamiast kilku godzin: kilkadziesiąt minut.

Przydaje się też przy przeglądzie całego rejestru po zmianie przepisów. Gdy zmieniają się przepisy o archiwizacji akt osobowych albo o przechowywaniu dokumentacji podatkowej, IOD może wkleić fragment rejestru dotyczący kadr lub podatków i zapytać AI, które okresy retencji wymagają weryfikacji i dlaczego. AI wskaże konkretne pozycje, IOD sprawdza przepisy i decyduje. Zamiast przeglądać każdy wpis z osobna.

DPIA przed nowym systemem: projekt gotowy przed spotkaniem z IT

Ocena skutków dla ochrony danych to wymóg z art. 35 RODO. Urząd musi ją przeprowadzić przed wdrożeniem systemu, który może naruszać prawa lub wolności osób fizycznych. W praktyce: system monitoringu wizyjnego, platforma do elektronicznej obsługi interesanta, baza danych o zaległościach podatkowych, narzędzie do analizy danych zdrowotnych, a także każde narzędzie AI przetwarzające dane osobowe mieszkańców.

Dobra DPIA ma kilka sekcji: opis przetwarzania i jego cel, ocena niezbędności i proporcjonalności, opis zagrożeń dla praw i wolności osób, środki zaradcze i wnioski.

AI przygotuje projekt każdej sekcji, gdy dostanie opis planowanego systemu: co robi, kto administruje, jakie dane przetwarza, skąd je bierze, gdzie przechowuje, kto ma dostęp, czy dane trafiają do podmiotów zewnętrznych. Im bardziej szczegółowy opis wejściowy, tym lepszy projekt.

Typowo wygląda to tak, że IOD dostaje od działu IT albo od wykonawcy kilkustronicowy opis systemu. Wkleja go do AI z pytaniem o projekt DPIA. Po kilku minutach ma wstępny dokument gotowy do weryfikacji. IOD sprawdza, uzupełnia punkty wymagające lokalnej wiedzy, ocenia ryzyko. Cały proces zajmuje godziny zamiast dni. U jednego z urzędów, który wdrażał system do zarządzania flotą pojazdów służbowych, IOD dostała od działu IT dwie strony opisu. Projekt DPIA był gotowy do weryfikacji jeszcze przed zaplanowanym spotkaniem z kierownikiem IT.

Pamiętaj: decyzja o akceptacji ryzyka albo odmowie wdrożenia należy do IOD i do administratora. AI przygotowuje projekt, ale nie ocenia ryzyka samodzielnie.

Zgłoszenie naruszenia do UODO: jak zdążyć w 72 godziny

Artykuł 33 RODO daje 72 godziny od wykrycia naruszenia na zgłoszenie do UODO. W piątek o 17:00, gdy okazuje się, że pracownik wysłał zestawienie danych osobowych na błędny adres albo że skradziono mu służbowy laptop z niezaszyfrowanymi plikami, ten termin zaczyna biec. Formularz zgłoszenia naruszenia dostępny na stronie UODO ma kilkanaście pól. Trzeba opisać co się stało, ile osób dotyczy, jakie kategorie danych, jakie możliwe konsekwencje dla poszkodowanych, jakie środki zaradcze już zastosowałeś.

AI dostaje od IOD krótki opis incydentu i zwraca:

• projekt treści do każdego pola formularza zgłoszenia do UODO
• projekt oceny, czy konieczne jest zawiadomienie poszkodowanych osób zgodnie z art. 34 RODO, wraz z uzasadnieniem
• listę pytań do weryfikacji z IT i kierownikiem przed wysłaniem
• projekt komunikatu dla poszkodowanych, jeśli zawiadomienie jest wymagane

IOD weryfikuje każde słowo i podejmuje decyzję o wysłaniu. Ale dostaje gotowy punkt wyjścia zamiast czystego formularza, kiedy zegar tyka. To różnica między panicznym pisaniem pod presją a spokojną weryfikacją projektu.

Klauzule informacyjne i odpowiedzi na żądania mieszkańców

Każdy nowy formularz urzędowy wymaga klauzuli informacyjnej. Wniosek o zajęcie pasa drogowego, formularz zgłoszeniowy na konkurs dla NGO, ankieta satysfakcji po wizycie w urzędzie. Każdy ma inny cel, inne kategorie danych, czasem inną podstawę prawną.

AI dostaje opis formularza i zwraca projekt klauzuli z właściwą podstawą prawną, danymi administratora, danymi kontaktowymi IOD, informacją o prawach osoby i czasie przechowywania danych. IOD sprawdza i zatwierdza. Zamiast godziny pisania od szablonu: kilka minut korekty.

Żądania z art. 15-22 RODO to drugi duży obszar. Gdy mieszkaniec składa wniosek o dostęp do swoich danych albo żąda usunięcia, IOD musi odpowiedzieć w ciągu miesiąca. Projekt odpowiedzi jest w dużej mierze ustandaryzowany, ale wymaga dostosowania do konkretnej sytuacji. AI przygotowuje projekt, IOD dopasowuje do stanu faktycznego i podpisuje.

Ważne zastrzeżenie: przy żądaniu usunięcia danych (art. 17) albo sprzeciwu (art. 21) AI nie decyduje, czy żądanie można spełnić. To ocena prawna, która zależy od podstawy przetwarzania i obowiązków urzędu wynikających z przepisów prawa. AI redaguje, IOD decyduje.

Szkolenia pracowników i opiniowanie umów z dostawcami

IOD musi szkolić pracowników: nowych, po incydencie, przy zmianach przepisów. Przygotowanie prezentacji i scenariusza to kilka godzin pracy, szczególnie gdy chcesz dopasować przykłady do konkretnego referatu.

AI w kilkanaście minut przygotuje zarys prezentacji dostosowany do stanowiska (np. "szkolenie RODO dla pracownika kasy i kancelarii"), zestaw scenariuszy z codziennej pracy w urzędzie ("co zrobić, gdy ktoś dzwoni z pytaniem o zaległości innej osoby?") i pytania sprawdzające do testu po szkoleniu. To nie gotowe szkolenie. IOD uzupełnia, dodaje lokalne przykłady, dostosowuje. Ale ma strukturę na wejściu zamiast pustej kartki.

Przy umowach powierzenia AI przegląda dokument i wskazuje, których elementów z art. 28 ust. 3 RODO brakuje albo które są nieprecyzyjne. Czy umowa określa cel i zakres przetwarzania? Czy zobowiązuje dostawcę do informowania o naruszeniach? Czy zezwala na podpowierzenie i na jakich zasadach? Taka lista pytań do negocjacji z dostawcą wychodzi z AI szybciej niż z ręcznego czytania umowy strona po stronie.

Czego AI nie powinna robić za IOD

Kilka rzeczy należy zostawić wyłącznie IOD:

• Decyzja o zasadności żądania osoby fizycznej. Czy żądanie usunięcia można spełnić, czy podstawa prawna wyklucza jego realizację, to ocena prawna z konsekwencjami. Należy do IOD i do prawnika urzędu.
• Decyzja o zgłoszeniu naruszenia do UODO. AI przygotuje projekt, ale decyzja o wysłaniu jest ludzka i nie można jej delegować.
• Ostateczna ocena ryzyka w DPIA przy wątpliwych przypadkach. AI wskaże potencjalne zagrożenia, ale to IOD stwierdza, czy ryzyko jest akceptowalne i czy można wdrożyć system.
• Korespondencja z UODO w toku postępowania wyjaśniającego albo kontroli. Każde słowo ma znaczenie prawne. Tu AI może pomóc zredagować projekt, ale nadzór jest ścisły.

Od czego zacząć w urzędzie

Najprostsza pierwsza próba to klauzula informacyjna. Weź opis nowego formularza, który właśnie dostałeś do zaopiniowania, i poproś AI o projekt klauzuli. Porównaj z tym, co napisałbyś sam. Oceń jakość i oszczędność czasu.

Jeśli wynik jest dobry, następny krok to projekt wpisu do RCP przy nowym systemie albo platformie, którą urząd właśnie testuje lub kupuje.

Zanim zaczniesz, sprawdź jedno: jakie narzędzie AI ma urząd i co mówi jego regulamin o treściach wpisywanych przez użytkowników. IOD w szczególności powinna wiedzieć, gdzie trafiają wpisywane dane i czy z dostawcą narzędzia jest podpisana umowa powierzenia przetwarzania danych. Jeśli nie, wiesz co zrobić. Opinia dla kierownictwa przed wdrożeniem, a nie po.

Chcesz zobaczyć, jak inne urzędy wdrożyły AI do pracy IOD i działów compliance? Zajrzyj do realnych wdrożeń. Jeśli wolisz zacząć od przeglądu, gdzie w Twoim urzędzie AI pomogłaby najbardziej, zapraszamy na bezpłatny audyt.