hvornår er jeg forpligtet til at foretage en DPIA

En DPIA er obligatorisk ved behandling med høj risiko

En DPIA — en vurdering af virkningen på beskyttelsen af personoplysninger — er obligatorisk, når en behandling sandsynligvis udgør en høj risiko for rettighederne og frihederne for de personer, hvis oplysninger behandles. Det er ikke en fast liste over aktiviteter, der er nøjagtigt ens overalt, men en vurdering, der starter med arten, omfanget, konteksten og formålet med behandlingen. Omfattende behandling af følsomme oplysninger, struktureret og systematisk overvågning af personer på et offentligt tilgængeligt sted, og behandlinger, der fører til automatiserede afgørelser med væsentlige konsekvenser, er eksempler, der ofte nævnes som situationer, hvor høj risiko er sandsynlig.

For en almindelig frilanser eller lille eller mellemstor virksomhed, der vedligeholder kundeoplysninger, personaleoplysninger eller et bogføringssystem, ligger en obligatorisk DPIA normalt ikke for hånden — disse behandlinger er typisk ikke omfattende eller systematiske nok til at blive betragtet som høj risiko. Så snart der arbejdes med f.eks. sundhedsoplysninger i større omfang, kameraovervågning på offentlige steder eller profilering, der har konsekvenser for individer, ændrer billedet sig. Den, der er usikker på, om en behandling falder i denne kategori, kan bedst underbygge denne vurdering ud fra det samme overblik, der også opbygges til behandlingsregisteret : for hver behandling er det allerede fastlagt, hvad formålet, omfanget og de involverede oplysninger er, og det er præcis de oplysninger, som en risikovurdering har brug for.

Hvad dette er baseret på: artikel 6 GDPR og tilsynsmyndighed

Forpligtelsen til at udføre en DPIA følger af GDPR og er knyttet til det retlige grundlag for behandlingen i artikel 6 GDPR: kun hvis der allerede er fastsat et lovligt retligt grundlag for behandlingen, er det relevant at følge op med spørgsmålet om, hvorvidt denne behandling også udgør en høj risiko. Tilsynsmyndigheder giver yderligere vejledning om, hvilke behandlinger der i praksis anses for at udgøre høj risiko; i Danmark gør Datatilsynet dette med egne lister og vejledninger, mens tilsynsmyndigheden i en anden medlemsstat kan bruge en lidt anderledes liste — hvad der er ens overalt, er normen fra forordningen selv, hvad der varierer, er den nationale tolkning af, hvilke behandlinger der falder herunder. Den, der er usikker på, om sin virksomhed på grund af behandlingens omfang har behov for en særlig databeskyttelsesmedarbejder, finder et udgangspunkt i vejledningen om databeskyttelsesmedarbejders krav, fordi disse to spørgsmål — DPIA og databeskyttelsesmedarbejder — ofte hænger sammen med det samme omfang og samme risikovurdering af behandlingen.