Artykuł 37 (1) (b) i (c) ogólnego rozporządzenia o ochronie danych (RODO, Rozporządzenie) wymaga aby w przypadku przetwarzania danych osobowych przeprowadzanego na dużą skalę był powoływany inspektor ochrony danych (DPO). Ogólne rozporządzenie o ochronie danych nie definiuje, co stanowi dużą skalę, chociaż motyw 91 zapewnia pewne wskazówki.

Rzeczywiście, nie jest możliwe podanie dokładnej liczby - zarówno w odniesieniu do ilości danych przetwarzanych lub liczby zainteresowanych osób - która mogłaby być stosowana w każdej sytuacji. To nie wyklucza jednak, że w miarę upływu czasu, może rozwinąć się standardowa praktyka w zakresie określania obiektywnych warunków ilościowych, wskazujących co stanowi "dużą skalę" w odniesieniu do pewnych rodzajów działań. Grupa 29 planuje również przyczynić się do tego rozwoju, na zasadzie udostępniania i rozpowszechniania przykładów odpowiednich progów dla wyznaczenia inspektora ochrony danych.

W każdym razie, Grupa 29 zaleca wzięcie pod uwagę następujących czynników przy ustalaniu, czy przetwarzanie jest przeprowadzane na dużą skalę:

• Liczba osób, których dane dotyczą - jako konkretnej liczby lub jako część danej populacji
• Objętość danych i / lub zakres różnych elementów przetwarzanych danych
• Czas trwania lub trwałość procesu przetwarzania danych
• Zakres geograficzny działalności związanej z przetwarzaniem danych.

Przykłady przetwarzania na dużą skalę, to:

• przetwarzanie danych pacjenta w toku zwykłej działalności gospodarczej przez szpital
• przetwarzanie danych podróżnych korzystających z systemu komunikacji miejskiej miasta (np. śledzenia za pomocą kart podróży)
• przetwarzanie danych w czasie rzeczywistym geo-lokalizacji klientów w międzynarodowej sieci fast food dla celów statystycznych przez procesora wyspecjalizowanego w świadczeniu tych usług
• przetwarzanie danych klienta w toku zwykłej działalności przez towarzystwo ubezpieczeniowe lub bank
• przetwarzanie danych osobowych do celów reklamy behawioralnej przez wyszukiwarkę
• przetwarzanie danych (zawartość, ruch, lokalizacja) przez dostawców usług telefonicznych lub internetowych.

Przykłady, które nie stanowią przetwarzanie dużą skalę obejmują:

• przetwarzanie danych pacjenta przez indywidualnego lekarza
• przetwarzanie danych osobowych dotyczących wyroków karnych i wykroczeń przez indywidualnego prawnika.

źródło Wytyczne dotyczące inspektorów ochrony danych / Guidelines on Data Protection Officers (‘DPOs’), WP 243, ARTICLE 29 DATA PROTECTION WORKING PARTY, 13 december 2016, http://ec.europa.eu/justice/data-protection/index_en.htm; tłumaczenie odoserwis.pl