Anbefalt rekkefølge: fra behandlingsoversikt til ROS og DPIA, og hvorfor det betyr noe

Personvernkompasset lar dere starte hvilken som helst vurdering for en tjeneste, når dere måtte ønske det. Ingenting er låst. Likevel anbefaler verktøyet alltid én bestemt rekkefølge, og den er ikke tilfeldig valgt. Den følger hvordan de fem vurderingene faktisk henger sammen i regelverket og i malene de bygger på.

Steg 1: Behandlingsoversikten legger grunnmuren

Behandlingsoversikten (protokollen etter artikkel 30) kommer alltid først. Her fastsetter dere formål, behandlingsgrunnlag, hvilke kategorier personopplysninger og registrerte det gjelder, og hvor lenge dere skal lagre opplysningene. Alle de andre vurderingene bygger videre på nettopp disse svarene, i stedet for å spørre om det samme på nytt. Starter dere med en DPIA eller en ROS-analyse før behandlingsoversikten er på plass, ender dere som regel med å måtte fylle ut de samme grunnleggende opplysningene der også, bare mindre strukturert.

Steg 2: Berettiget interesse, når den er aktuell

Har dere valgt interesseavveining som behandlingsgrunnlag i behandlingsoversikten, dukker en berettiget interesse-vurdering opp som neste anbefalte steg. Dette er den eneste av de fem vurderingene som ikke alltid er relevant. Velger dere et annet grunnlag, for eksempel avtale eller rettslig forpliktelse, er den rett og slett ikke aktuell, og hoppes over.

Steg 3: DPIA-behovsvurderingen avgjør om dere trenger mer

Når behandlingen er beskrevet, er neste naturlige spørsmål om den er risikofylt nok til å kreve en full personvernkonsekvensvurdering. DPIA-behovsvurderingen er en kort screening med ni konkrete kriterier. Svarer dere ja på mer enn to av dem, anbefaler verktøyet en full DPIA. Dette tar typisk et kvarter, og sparer dere for å gjøre en fullstendig DPIA på behandlinger der det egentlig ikke er nødvendig, eller for å overse en behandling der det faktisk er det.

Steg 4: ROS-analysen kommer før den fulle DPIA-en

Her er det mange som blir overrasket: ROS-analysen anbefales før den fulle DPIA-en, ikke etter. Grunnen er at DPIA-malens sikkerhetsdel viser eksplisitt til en egen ROS-analyse av informasjonssikkerheten. Har dere allerede kartlagt sårbarhetene i systemet gjennom en ROS-analyse, kan dere svare presist på sikkerhetsspørsmålene i DPIA-en i stedet for å gjette eller la feltet stå tomt. Gjøres det motsatt, ender sikkerhetsdelen i DPIA-en ofte opp som en overfladisk selvstendig vurdering, uten den grundigere analysen bak seg.

Steg 5: Den fulle DPIA-en, når den kreves

Konkluderte DPIA-behovsvurderingen med at dere trenger en full DPIA, er dette siste steg i rekken. Den bygger nå på både behandlingsoversikten og ROS-analysen, og dere slipper å beskrive formål, kategorier eller sikkerhetstiltak fra bunnen av på nytt.

Hvorfor rekkefølgen ikke bare er kosmetisk

Gjør dere disse vurderingene i feil rekkefølge, eller helt løsrevet fra hverandre, ender dere som regel med tre problemer: samme informasjon skrives inn flere steder og kommer ut av synk med hverandre over tid, en full DPIA blir tynnere på sikkerhet enn den burde fordi ROS-analysen mangler, og dere bruker unødvendig tid på vurderinger som DPIA-behovsvurderingen egentlig ville avkreftet behovet for.

Det er nettopp derfor Personvernkompasset alltid fremhever hvilken vurdering som er anbefalt neste steg for hver tjeneste, samtidig som dere står helt fritt til å ignorere anbefalingen. Rekkefølgen er en snarvei basert på hvordan malene selv er bygget opp, ikke en regel dere må følge på formalia alene.