Vurdering av personvernkonsekvenser
En vurdering av personvernkonsekvenser, ofte kalt DPIA, er en strukturert analyse av hvordan en planlagt behandling av personopplysninger kan påvirke de registrertes rettigheter og friheter. Målet er å identifisere høy risiko tidlig og bygge inn tiltak før behandlingen starter.
Når må en DPIA gjennomføres?
Virksomheten må gjennomføre en DPIA når en type behandling sannsynligvis vil medføre høy risiko. Dette kan for eksempel være aktuelt ved omfattende overvåking, profilering, bruk av ny teknologi eller behandling av særlige kategorier av personopplysninger i stor skala. Arbeidet henger tett sammen med personvern ved design og gode beslutninger tidlig i prosjektet.
Hva skal vurderingen inneholde?
En god DPIA beskriver behandlingen og formålene, vurderer om behandlingen er nødvendig og forholdsmessig, analyserer risikoene for de registrerte og beskriver hvilke tiltak som skal redusere risikoen. Dette omfatter ofte både tekniske og organisatoriske tiltak, som tilgangsstyring, logging, slettestruktur og klare rutiner for håndtering av avvik.
Hva hvis risikoen fortsatt er høy?
Dersom virksomheten etter planlagte tiltak fortsatt står igjen med høy risiko, må den som hovedregel rådføre seg med Datatilsynet før behandlingen starter. En DPIA er derfor ikke bare dokumentasjon; den er også et verktøy for å avgjøre om behandlingen bør endres, utsettes eller stanses.
DPIA er en del av styringen, ikke et engangsdokument
Vurderingen bør oppdateres når behandlingen endres vesentlig, når risikoen øker eller når virksomheten tar i bruk nye leverandører eller løsninger. Det er også naturlig å involvere personvernombudet og vurdere om databehandleravtaler og sikkerhetstiltak er gode nok.
Relaterte sider
- Les også: Personvern ved design
- Les også: Personvern som standard
- Les også: Personvernombud
- Les også: Databehandleravtale