En DPIA, fuldt ud en vurdering af konsekvenserne for beskyttelsen af personoplysninger, er en risikovurdering, som du gennemfører på forhånd, når en behandling af personoplysninger sandsynligvis medfører høj risiko for de personer, hvis oplysninger behandles. GDPR forpligter ikke til denne vurdering ved enhver behandling, men specifikt ved behandlinger, som på grund af deres art, omfang, kontekst eller formål kan få stor indvirkning — tænk på storstilet overvågning, systematisk profilering eller behandling af følsomme oplysninger såsom sundhedsdata i stort omfang.
Om din virksomhed skal gennemføre en DPIA, afhænger af, hvad du præcis gør med oplysningerne, ikke af din virksomheds størrelse. En enkeltmandsvirksomhed, der installerer kameraer i en butik i lille skala, falder normalt uden for denne pligt; en lille eller mellemstor virksomhed, der bruger AI-software til storstilet analyse af kundeadfærd eller screening af ansøgere, kommer hurtigere ind i området for en obligatorisk DPIA. Datatilsynet udgiver en liste over behandlinger, for hvilke denne vurdering efter dets vurdering altid er nødvendig; denne liste er et godt udgangspunkt til at bestemme, om din situation hører til.
Hvornår gælder dette for små og mellemstore virksomheder?
De fleste små og mellemstore virksomheder samt enkeltmandsvirksomheder slipper for en formel DPIA, simpelthen fordi deres behandlinger ikke har det omfang eller risikoniveau, som GDPR sigter på. Der er dog situationer, hvor spørgsmålet pludselig bliver relevant: indførelse af videoovervågning med ansigtsgenkendelse, brug af et nyt AI-værktøj, der automatisk træffer beslutninger om kunder eller ansatte, eller en udvidelse af eksisterende software, hvorved du pludselig indsamler data i meget større omfang end tidligere.
Det er således ikke så meget branchen, der afgør, om en DPIA er nødvendig, men ændringen i det, du gør. En HR-afdeling, der skifter til et ansættelsesværktøj med automatisk cv-screening, gør klogt i at spørge sig selv, om dette skift opfylder kriterierne. Det samme gælder for en kontorchef, der overvejer at implementere et nyt SaaS-værktøj, der sporer besøgendes adfærd på webstedet og kombinerer det med andre datakilder.
Hvad skal en DPIA indeholde?
En DPIA beskriver systematisk, hvad der sker: hvilke oplysninger der behandles, til hvilket formål, på grundlag af hvilken retsgrundlag, og hvem der kan få adgang til oplysningerne. Derefter kortlægger analysen risiciene for de berørte personer — hvad kan gå galt, og hvor stor er sandsynligheden og konsekvensen heraf? Det sidste afsnit handler om foranstaltningen: hvilke tekniske eller organisatoriske trin træffes for at reducere disse risici, og er der efter disse foranstaltninger stadig en risiko tilbage, som ikke kan elimineres?
Dette sidste punkt er vigtigt: hvis en DPIA viser, at der stadig er høj risiko tilbage efter foranstaltninger, kræver GDPR, at du forelægger dette for tilsynsmyndigheden, før du starter behandlingen. Det er en undtagelse, ikke et standardtrin, men det er grunden til, at en DPIA ikke er noget, du udfylder på en gang bagefter.
Forholdet til registeret over behandlingsaktiviteter
En DPIA står ikke isoleret fra resten af din GDPR-administration. Den behandling, som du udfører analysen for, skal også få plads i videnbanken, hvor risici pr. behandling er udarbejdet, så det bliver klart, hvilke behandlinger, der har brug for ekstra opmærksomhed, og hvilke der ikke har. Hvis du allerede har styr på registeret over behandlingsaktiviteter, ser du ofte af sig selv, hvilke behandlinger, der vedrørende omfang eller følsomhed ligger tættere på DPIA-tærsklen end andre.
Det er også et godt tidspunkt til at kontrollere de databehandleraftaler, der vedrører denne behandling: en ekstern part, der behandler data, som du overvejer at foretage en DPIA for, er ofte også den part, hvor de største risici opstår, hvis noget går galt. Ligesom ved et muligt databrud er det nyttigt at vide, hvor du står på forhånd, i stedet for bagefter at skulle finde ud af, hvad der nøjagtigt blev aftalt.
Hvad hvis du er i tvivl
Grænsen mellem "sandsynligvis ingen DPIA nødvendig" og "bedre at analysere først" er ikke altid skarp, og forordningen tillader bevidst rum for egen vurdering. Ved tvivl er det tilrådeligt at konsultere vejledningen fra Datatilsynet eller spørge en jurist om at se på din specifikke situation. Denne side beskriver den generelle linje fra forordningen; den erstatter ikke det råd.
Vil du først få et indtryk af, hvordan dine egne behandlinger forholder sig til den risikovurdering, som forordningen anvender? Tag den gratis quick-scan eller gennemse ofte stillede spørgsmål om registeret og overvågningen heraf for at se hvilket trin, der er mest hensigtsmæssigt for dit firma.