när är jag skyldig att genomföra en DPIA

En DPIA är obligatorisk vid behandling med högt värde

En DPIA — en bedömning av inverkan på dataskyddet — är obligatorisk när en behandling sannolikt utgör en högt värde för de rättigheter och friheter för de personer vars data behandlas. Detta är inte en fast lista över aktiviteter som är exakt densamma överallt, utan en bedömning som utgår från behandlingens karaktär, omfattning, sammanhang och syfte. Storskalig behandling av känslig data, strukturerad och systematisk övervakning av människor på en offentligt tillgänglig plats, och behandlingar som leder till automatiserade beslut med betydande konsekvenser är exempel som ofta nämns som situationer där högt värde är sannolikt.

För en vanlig egenföretagare eller små- och medelstora företag som hanterar kunddata, personaldata eller ett bokföringssystem är en obligatorisk DPIA vanligtvis inte aktuell — dessa behandlingar är vanligtvis inte storskaliga eller systematiska nog för att klassificeras som högt värde. Så snart man arbetar med till exempel hälsouppgifter i större skala, kameraövervakning av offentliga områden eller profilering som får konsekvenser för individer, förändras bilden. Den som är osäker på om en behandling faller inom denna kategori kan bäst underbygga denna bedömning utifrån samma översikt som också bygger upp behandlingsregistret är uppbyggt: för varje behandling är redan fastslaget vad syftet, omfattningen och de aktuella data är, och det är exakt den information som en riskbedömning behöver.

Vad detta är grundat på: artikel 6 GDPR och tillsynsmyndigheten

Skyldigheten att utföra en DPIA följer av GDPR och är knuten till den rättsliga grunden i artikel 6 GDPR: endast om det redan är fastslaget att det finns en rättslig grund för behandlingen är följdfrågan relevant om denna behandling också utgör ett högt värde. Tillsynsmyndigheter ger vidare vägledning om vilka behandlingar i praktiken ses som högt värde; i Sverige gör Datainspektionen detta med egna listor och förklaringar, medan tillsynsmyndigheten i en annan medlemsstat kan tillämpa en något annan lista — vad som förblir detsamma överallt är normen i förordningen själv, vad som skiljer sig är den nationella tolkningen av vilka behandlingar som faller under det. Den som är osäker på om sitt företag på grund av omfattningen av behandlingen behöver en separat funktionär för dataskydd kan finna ett anknytningsmöjlighet i förklaringen om dpia-skyldigheten, för dessa två frågor — DPIA och funktionär för dataskydd — hänger ofta samman med samma omfattning och riskbedömning av behandlingen.