Hva er en DPIA, og når må dere faktisk gjennomføre en?

DPIA står for Data Protection Impact Assessment - på norsk gjerne kalt personvernkonsekvensvurdering. Det er en strukturert vurdering av hvordan en planlagt behandling av personopplysninger påvirker personvernet til dem opplysningene gjelder, og hvilke tiltak som eventuelt må på plass for å redusere risikoen. Kravet kommer fra GDPR artikkel 35.

Poenget med en DPIA er ikke å produsere et dokument for skuffen. Det er å tvinge fram en ærlig vurdering før dere setter i gang og ikke etter det først har gått galt.

Når krever loven en DPIA?

Artikkel 35 sier at DPIA er påkrevd når en behandling "sannsynligvis vil medføre høy risiko" for den registrertes rettigheter og friheter. Det er en skjønnsmessig terskel, og det er nettopp derfor så mange virksomheter blir usikre - eller lar være å vurdere det i det hele tatt.

Noen kjente eksempler der DPIA typisk kreves:

• Systematisk og omfattende evaluering eller profilering av personer, som brukes til å ta beslutninger med rettsvirkning for dem
• Behandling av særlige kategorier opplysninger (helse, religion, fagforeningsmedlemskap m.m.) i stor skala
• Systematisk overvåking av et offentlig tilgjengelig område i stor skala
• Bruk av ny teknologi på en måte som er vanskelig å forutse konsekvensene av

Men i praksis er dette sjelden opplagt fra dag én. Derfor bygger Personvernkompasset på en enkel to-trinns modell: først en kort DPIA-behovsvurdering med ni konkrete kriteriespørsmål (basert på Datatilsynets og Artikkel 29-gruppens anbefalinger), og en tommelfingerregel: svarer dere ja på mer enn to av dem, skal dere gjennomføre en full DPIA. Det tar femten minutter å avklare, mot dagevis med tvil.

Hva skjer hvis dere hopper over den?

Å unnlate å gjennomføre en DPIA når loven krever det, er i seg selv et brudd på GDPR uavhengig av om behandlingen faktisk fører til noe negativt. Ved tilsyn er "vi tenkte ikke over det" ikke et gyldig svar. Det er også her de fleste sanksjonene fra Datatilsynet har sin rot: ikke at virksomheten gjorde noe med vond vilje, men at den aldri stoppet opp og vurderte risikoen på forhånd.

Hvor begynner dere?

En DPIA henger ikke i luften - den bygger videre på behandlingsoversikten dere uansett skal ha etter artikkel 30: hva behandles, hvorfor, hvem gjelder det, og hvilket rettslig grunnlag har dere. Har dere den på plass, er DPIA-behovsvurderingen et naturlig neste steg. Konkluderer den med at DPIA kreves, bygger selve DPIA-en videre på nøyaktig de samme opplysningene så dere trenger ikke begynne på nytt.

Verdt å merke seg: en DPIA er ikke det samme som en ROS-analyse (risiko- og sårbarhetsanalyse). DPIA vurderer risiko for personene opplysningene gjelder. ROS vurderer risiko for virksomheten og informasjonssikkerheten - og bør helst gjøres samtidig med eller før en full DPIA, ikke etterpå. Vi kommer tilbake til den forskjellen i et eget innlegg.

Det korte svaret på "trenger vi en DPIA?" er sjelden ja eller nei ved første øyekast. Men det tar overraskende kort tid å finne ut av det - hvis dere har riktig verktøy for å stille de riktige spørsmålene i riktig rekkefølge.