Skal virksomheten behandle personopplysninger på nye måter – eller ta i bruk ny teknologi?
Da kan det hende dere må gjennomføre en DPIA, også kalt en personvernkonsekvensvurdering.
I dette innlegget forklarer vi hva DPIA betyr, når det er påkrevd, og hvordan prosessen bør gjennomføres i praksis.
DPIA står for Data Protection Impact Assessment, eller personvernkonsekvensvurdering på norsk. Det er en strukturert vurdering som skal avdekke og redusere risiko for enkeltpersoners rettigheter og friheter før dere setter i gang en ny behandling av personopplysninger.
For virksomheter betyr dette at dere må ta et steg tilbake og vurdere konsekvensene før dere for eksempel ruller ut et nytt HR-system, bytter lønnssystem eller samler inn nye typer data om ansatte eller kunder.
Formålet er todelt:
En DPIA er med andre ord både et risikostyringsverktøy og et bevis på at dere jobber systematisk med personvern.
DPIA er et krav etter GDPR når behandlingen kan medføre høy risiko for de registrertes rettigheter og friheter. Det gjelder særlig ved:
Hvis dere for eksempel vurderer å ta i bruk kameraovervåkning, AI-verktøy for rekruttering eller innhenting av helseopplysninger i stor skala, må dere trolig gjøre en DPIA.
Det europeiske datatilsynet (EDPB) har utarbeidet retningslinjer for å avgjøre når risikoen er høy. Hvis minst to av ni kriterier er oppfylt, bør virksomheten gjennomføre en DPIA.
Her er en kort oversikt over EDPBs ni risikokriterier:
Hvis dere kjenner igjen ett eller flere av disse punktene, bør dere starte med en forhåndsvurdering – og trolig gjennomføre en full DPIA.
En DPIA trenger ikke være komplisert, men den må være grundig. Det handler om å få oversikt over hva dere planlegger å gjøre, vurdere konsekvensene for de personene det gjelder – og dokumentere hvordan dere reduserer risiko.
En god DPIA-prosess består gjerne av følgende trinn:
En konsekvensvurdering er langt enklere å gjennomføre når prosessen er strukturert og dokumentasjonen på plass. Med vårt verktøy for DPIA får dere en tydelig metode for å vurdere risiko, beskrive tiltak og sikre etterlevelse av GDPR artikkel 35.
Løsningen kan kombineres med behandlingsprotokollen, slik at dere får oversikt over behandlinger og vurderinger på ett sted. Det gjør det enklere å samarbeide på tvers og følge opp personvernarbeidet over tid.
Lær mer og se hvordan det fungerer i praksis.
Når DPIA-en er ferdig, er det viktig å følge opp resultatene i praksis. Hvis risikoen er redusert til et akseptabelt nivå, kan behandlingen igangsettes. Hvis ikke, må dere vurdere flere tiltak – eller i noen tilfeller la være å gjennomføre behandlingen.
DPIA-en fungerer også som dokumentasjon for tilsynsmyndigheter på at dere har gjort en forsvarlig vurdering.
Dersom DPIA-en viser at det fortsatt er høy risiko for personvernet – og dere ikke klarer å redusere risikoen med tiltak – må Datatilsynet kontaktes før behandlingen settes i gang.
Dette kalles forhåndsdrøfting, og er aktuelt i særskilte tilfeller der virksomheten står i fare for å bryte GDPR. Formålet er å få veiledning før risikoen realiseres.
DPIA kan virke teoretisk, men det finnes gode verktøy og maler for å komme i gang. En praktisk sjekkliste eller strukturert mal kan gjøre arbeidet langt enklere – spesielt for HR og ledelse som ikke jobber med dette daglig.
Mange virksomheter er usikre på når en DPIA er påkrevd og hvordan de bør gjennomføre den i praksis. Med Privacy as a Service får dere både metodikk, dokumentasjon og hjelp fra våre erfarne rådgivere.
Tjenesten er basert på vår metode Systematisk Personvernarbeid (SPA) og består av:
Book en demo av Privacy as a Service i dag.