Du skal ta i bruk et nytt HR-system. Eller et lønnssystem med ny leverandør. Eller begynne å samle inn helsedata om ansatte som ledd i en velferdsordning. Før du setter i gang, kan GDPR kreve at du gjennomfører en personvernkonsekvensvurdering, en DPIA.
DPIA er ikke byråkrati for byråkratiets skyld. Det er et verktøy som skal tvinge deg til å tenke gjennom personvernrisikoen før du handler, ikke etter at noe har gått galt. Mangler du DPIA der det er påkrevd, kan Datatilsynet ilegge overtredelsesgebyr på opptil 10 millioner euro eller to prosent av global årsomsetning.
Hva er en DPIA?
DPIA står for Data Protection Impact Assessment, på norsk personvernkonsekvensvurdering. Det er en strukturert vurdering som skal beskrive en planlagt behandling av personopplysninger, vurdere om den er nødvendig og proporsjonal, kartlegge risikoen for de registrertes rettigheter og friheter og fastlegge tiltak for å redusere risikoen.
DPIA er hjemlet i GDPR artikkel 35 og skal gjennomføres av den behandlingsansvarlige, altså din virksomhet, før behandlingen starter. Det er ingen poeng i å gjennomføre DPIA etter at systemet er rullet ut. Hensikten er å identifisere problemer mens det fortsatt er mulig å gjøre noe med dem.
En DPIA reparerer ikke en ulovlig behandling. Dersom behandlingen ikke har gyldig behandlingsgrunnlag etter artikkel 6, hjelper ikke en DPIA. Start alltid med å avklare behandlingsgrunnlaget.
Vi i Judicia bistår virksomheter med personvernvurderinger og DPIA-prosesser. Les mer om personvern og GDPR.
Når er DPIA påkrevd?
DPIA er påkrevd når behandlingen sannsynligvis vil medføre høy risiko for de registrertes rettigheter og friheter. GDPR artikkel 35 nr. 3 angir tre typer behandling som alltid utløser krav om DPIA:
1. Systematisk og omfattende profilering. Automatisert behandling, herunder profilering, som danner grunnlag for avgjørelser med rettsvirkning eller som på lignende måte i betydelig grad påvirker de registrerte. Eksempler er kredittvurderingssystemer og rekrutteringsalgoritmer.
2. Behandling i stor skala av særlige kategorier. Behandling i stor skala av sensitive personopplysninger etter artikkel 9, slik som helseopplysninger, genetiske data, religiøs overbevisning eller fagforeningsmedlemskap.
3. Systematisk overvåking av offentlig tilgjengelig område. Kameraovervåking av offentlige rom i stor skala, for eksempel overvåking av veier eller torg med bildegjenkjenning.
I tillegg har Datatilsynet publisert en liste over behandlingsaktiviteter som alltid krever DPIA i norsk kontekst. Sjekk denne listen på Datatilsynets nettsider som et første steg.
For behandling som ikke faller eksplisitt inn under de tre kategoriene, skal du likevel vurdere om behandlingen vil medføre høy risiko. Datatilsynet anbefaler å bruke en sjekkliste med ni kriterier fra Artikkel 29-gruppen (nå EDPB). Dersom behandlingen oppfyller to eller flere av disse kriteriene, er DPIA normalt påkrevd.
De ni kriteriene er: vurdering og scoring av enkeltpersoner, automatiserte avgjørelser med rettsvirkning, systematisk overvåking, behandling av sensitive opplysninger, behandling i stor skala, sammenstilling av datasett, behandling av opplysninger om sårbare grupper, innovativ bruk av ny teknologi og behandling som hindrer de registrerte fra å utøve sine rettigheter.
Hva skal DPIA-en inneholde?
GDPR artikkel 35 nr. 7 stiller fire minimumskrav til innholdet:
1. Systematisk beskrivelse av behandlingen. Hva behandles, til hvilke formål, med hvem og i hvilke systemer? Dataflyten skal beskrives tydelig.
2. Vurdering av nødvendighet og proporsjonalitet. Er behandlingen nødvendig for formålet? Kunne formålet vært oppnådd med færre eller mindre sensitive opplysninger?
3. Risikovurdering for de registrerte. Hva kan gå galt? Hva er sannsynligheten og konsekvensene dersom opplysningene kommer på avveie, brukes til urettmessige formål eller behandles feil?
4. Planlagte tiltak for å håndtere risikoen. Hvilke tekniske og organisatoriske tiltak reduserer risikoen til et akseptabelt nivå? Kryptering, tilgangskontroll, pseudonymisering og begrensning av lagringstid er typiske tiltak.
Etter at de fire delene er gjennomført, skal ledelsen vurdere og godkjenne DPIA-en. Personvernombudet, dersom du har et, skal rådspørres og bidra i prosessen. Les mer om personvernombud.
Hva skjer dersom risikoen fortsatt er høy?
Dersom DPIA-en avdekker at restrisikoen er høy selv etter at tiltak er iverksatt, plikter du å gjennomføre forhåndsdrøftelse med Datatilsynet etter GDPR artikkel 36, før behandlingen starter.
Forhåndsdrøftelse betyr at du sender DPIA-en til Datatilsynet og ber dem vurdere om behandlingen er i samsvar med GDPR. Datatilsynet har åtte uker på å svare, med mulighet for forlengelse med seks uker ved komplekse saker.
Datatilsynet kan da gi råd om tiltak, pålegge endringer eller erklære at behandlingen ikke kan gjennomføres.
Hvem gjennomfører DPIA-en og hva dokumenteres?
Det er behandlingsansvarlig som har ansvaret for å gjennomføre DPIA-en. Databehandlere som er involvert i behandlingen plikter å bistå og fremlegge nødvendig informasjon.
Det er ikke et krav om å offentliggjøre DPIA-en, men den skal oppbevares og fremlegges for Datatilsynet ved tilsyn eller forhåndsdrøftelse. Datatilsynet anbefaler å overveie å publisere et sammendrag, da det kan styrke tilliten til virksomheten.
DPIA er ikke en engangsoppgave. Dersom behandlingen endrer seg, ny teknologi tas i bruk eller risikobildet endrer seg, skal DPIA-en oppdateres. Les mer om databehandleravtaler for de kontraktsmessige pliktene mot leverandørene som er involvert i behandlingen.
Praktiske eksempler
Innføring av nytt HR-system: Systemet behandler personopplysninger om alle ansatte, inkludert sykefravær og lønn. Det er behandling i stor skala og kan innebære sensitive opplysninger. DPIA er normalt påkrevd.
Kameraovervåking av parkeringsplass: Begrenset område, ikke-sensitiv informasjon, korte lagringstider. DPIA kan være nødvendig avhengig av omfang, men er ikke alltid påkrevd ved begrenset overvåking.
AI-basert rekrutteringsverktøy: Automatisert profilering som rangerer jobbsøkere. Dette er systematisk profilering som danner grunnlag for avgjørelser med vesentlig innvirkning. DPIA er påkrevd.
Ny analyseplattform som sammenstiller kundedata fra flere systemer: Sammenstilling av datasett fra ulike kilder er et av de ni kriteriene. Sjekk om to eller flere kriterier er oppfylt.
Ofte stilte spørsmål om DPIA
DPIA (Data Protection Impact Assessment) er en personvernkonsekvensvurdering etter GDPR artikkel 35. Det er en strukturert prosess der virksomheten beskriver en planlagt behandling av personopplysninger, vurderer risikoen for de registrerte og fastlegger tiltak for å redusere risikoen. DPIA skal gjennomføres før behandlingen starter, ikke i ettertid.
DPIA er alltid påkrevd ved systematisk profilering som danner grunnlag for avgjørelser med rettsvirkning, behandling i stor skala av sensitive personopplysninger, og systematisk overvåking av offentlige områder. For andre typer behandling skal du vurdere om to eller flere av Datatilsynets ni risikokriterier er oppfylt. Datatilsynet har publisert en liste over behandlingsaktiviteter som alltid krever DPIA.
Manglende DPIA der det er påkrevd kan medføre overtredelsesgebyr på opptil 10 millioner euro eller to prosent av global årsomsetning. Datatilsynet kan også pålegge stans av behandlingen.
Normalt ikke. DPIA er intern dokumentasjon som skal fremlegges for Datatilsynet ved tilsyn eller ved forespørsel. Dersom restrisikoen er høy etter gjennomførte tiltak, plikter du derimot å gjennomføre forhåndsdrøftelse med Datatilsynet før behandlingen starter.
Er du usikker på om virksomheten din trenger DPIA, eller vil du ha hjelp til å gjennomføre en? Ta kontakt med Judicia for en uforpliktende samtale.