En DPIA, i sin helhet en dataskyddskonsekvensbedömning, är en riskanalys som du genomför i förväg när en behandling av personuppgifter sannolikt medför höga risker för de personer vars uppgifter det gäller. GDPR förbjuder inte denna analys vid varje behandling, utan specifikt vid behandlingar som på grund av sin natur, omfattning, kontext eller syfte kan få stor inverkan — tänk på storskalig övervakning, systematisk profilering eller behandling av känsliga uppgifter såsom hälsodata i stor skala.
Huruvida ditt företag måste genomföra en DPIA beror på vad du exakt gör med uppgifterna, inte på storleken på ditt företag. En egenföretagare som installerar kameror i småskalighet i en butik faller vanligtvis utanför denna skyldighet; ett små- eller medelstort företag som använder AI-programvara i stor skala för att analysera kundbeteende eller screena sökande hamnar snabbare inom området för en obligatorisk DPIA. Datainspektionen publicerar en lista över behandlingar för vilka denna analys enligt dem alltid är nödvändig; denna lista är en bra utgångspunkt för att avgöra om din situation ingår.
När är detta relevant för små och medelstora företag
De flesta små och medelstora företag undviker en formell DPIA, helt enkelt för att deras behandlingar inte har den skala eller risknivå som GDPR avser. Ändå finns det situationer där frågan plötsligt blir relevant: införandet av kameraövervakning med ansiktsigenkänning, användningen av ett nytt AI-verktyg som automatiskt fattar beslut om kunder eller anställda, eller en utökning av befintlig programvara där du plötsligt samlar in data i mycket större skala än tidigare.
Det är således inte så mycket sektorn som avgör om en DPIA är nödvändig, utan förändringen i vad du gör. En personalavdelning som byter till ett rekryteringsverktyg med automatisk cv-screening gör klokt i att fråga sig om denna övergång faller under kriterierna. Detsamma gäller för en kontorschef som överväger att implementera ett nytt SaaS-verktyg som spårar besökarnas beteende på webbplatsen och kombinerar det med andra datakällor.
Vad bör en DPIA innehålla
En DPIA beskriver systematiskt vad som händer: vilka uppgifter behandlas, för vilket syfte, på vilken rättslig grund, och vem som kan få tillgång till uppgifterna. Därefter kartlägger analysen riskerna för de registrerade — vad kan gå fel, och hur stor är sannolikheten och konsekvensen av detta. Den sista delen är åtgärden: vilka tekniska eller organisatoriska åtgärder vidtas för att minska dessa risker, och återstår det efter dessa åtgärder ett risiko som inte kan elimineras.
Denna sista punkt är viktig: om en DPIA visar att det även efter åtgärder återstår höga risker, föreskriver GDPR att du lägger detta fram för tillsynsmyndigheten innan du påbörjar behandlingen. Det är ett undantag, ingen standardåtgärd, men det är anledningen till varför en DPIA inte är något du fyller i i efterhand.
Sambandet med behandlingsregistret
En DPIA står inte isolerad från resten av din GDPR-dokumentation. Behandlingen som du genomför analysen för bör även få en plats i kunskapsdatabasen där risker per behandling är utarbetade, så att det är tydligt vilka behandlingar som behöver extra uppmärksamhet och vilka som inte gör det. Den som redan har ordning på behandlingsregistret ser ofta av sig själv vilka behandlingar som avseende skala eller känslighet ligger närmare DPIA-tröskeln än andra.
Det är också ett bra tillfälle att kontrollera de personuppgiftsbiträdesavtalen som hör till denna behandling: en extern part som behandlar uppgifterna för vilken du överväger en DPIA är ofta också den part där de största riskerna uppstår om något går fel. Precis som vid ett möjligt datalopp är det användbart att veta i förväg var du står istället för att senare behöva ta reda på exakt vad som avtalades.
Vad händer om du är osäker
Gränsen mellan "troligen ingen DPIA behövs" och "bäst att analysera först" är inte alltid skarp, och förordningen lämnar medvetet utrymme för eget övervägande här. Vid osäkerhet rekommenderas det att konsultera riktlinjerna från Datainspektionen eller fråga en jurist att titta på din specifika situation. Den här sidan beskriver den allmänna linjen från förordningen; den är ingen ersättning för det rådet.
Vill du först få ett intryck av hur dina egna behandlingar förhåller sig till riskbedömningen som förordningen använder? Gör den kostnadsfria snabbkontroll eller bläddra igenom de vanliga frågorna om registret och övervakningen av det för att se vilket steg som är mest lämpligt för ditt företag.