DPIA etter GDPR: når og hvordan du gjør en konsekvensvurdering

Når du må gjøre en DPIA

Hovedregelen er at du skal gjøre en DPIA når en behandling sannsynligvis vil medføre høy risiko for fysiske personers rettigheter og friheter. Vurderingen skal være ferdig før behandlingen starter. Ansvaret gjelder også når behandlingen skjer i et system du leier av en leverandør. Regelverket henger sammen med andre krav til nettsiden, og regler for nettsider og netthandel: komplett guide for bedrifter gir deg oversikten.

Artikkel 35 nr. 3 peker på tilfeller som typisk gir høy risiko: systematisk og omfattende vurdering av personlige forhold basert på automatisert behandling, herunder profilering, med beslutninger som har rettsvirkning for personen; omfattende behandling av særlige kategorier opplysninger eller opplysninger om straffedommer; og systematisk omfattende overvåking av et område som er offentlig tilgjengelig. Listen er ikke uttømmende. En konkret behandling kan kreve DPIA etter hovedregelen selv om den ikke passer på en av beskrivelsene. Mer om dette i GDPR artikkel 35: når trenger du konsekvensvurdering?.

Datatilsynets veiledning inneholder listen over behandlinger som skal ha DPIA i Norge etter artikkel 35 nr. 4. Gå gjennom punktene og se hvilke som treffer din virksomhet. Flere punkter har kombinasjonsvilkår, så du må lese hele punktet og ikke bare overskriften. Behandler du sensitive personopplysninger etter GDPR, er terskelen ofte lavere.

Slik gjør du en DPIA, steg for steg

Start med å beskrive behandlingen slik den faktisk er tenkt, ikke slik den står i leverandørens markedsmateriell. Hva samles inn, hvorfor, hvor lagres det, hvem ser opplysningene, hvor lenge blir de liggende, og hvilke systemer og underleverandører er involvert. Beskriv flyten fra innsamling til sletting.

Deretter vurderer du nødvendighet og forholdsmessighet. Er formålet legitimt, og finnes det et gyldig behandlingsgrunnlag etter artikkel 6? Kunne du oppnådd det samme med færre opplysninger eller kortere lagringstid? Dette steget er ofte der de største svakhetene dukker opp.

Så identifiserer du risikoene for de registrerte: hva kan gå galt, hvor sannsynlig er det, og hvor alvorlig blir det. For hver risiko beskriver du tiltak som finnes i dag og tiltak du planlegger, og hva restrisikoen blir etter at tiltakene er på plass.

Til slutt konkluderer du skriftlig. Går du videre, går du videre med vilkår, eller stopper du fordi risikoen ikke kan reduseres tilstrekkelig? Står høy risiko igjen, skal behandlingen forhåndsdrøftes med Datatilsynet før den settes i gang.

Hva en DPIA må inneholde

Artikkel 35 nr. 7 stiller minstekrav til innholdet. For det første en beskrivelse av behandlingen og formålet med den, med utgangspunkt i virksomheten, systemene og de registrerte.

For det andre en vurdering av nødvendighet og forholdsmessighet sett opp mot formålet. For det tredje en analyse av risikoene for de registrertes rettigheter og friheter.

For det fjerde en oversikt over tiltak som reduserer risiko og sikrer etterlevelse. Her må du være konkret. Kryptering er ikke et tiltak i seg selv. Det avgjørende er hva som krypteres, og hvordan nøklene håndteres.

Typiske behandlinger på en nettside

For små og mellomstore virksomheter er det sjelden de største systemene som er problemet. Det er summen av små behandlinger som ingen helt har oversikt over: kontaktskjema, chat, booking, nyhetsbrev, analyseverktøy, informasjonskapsler, innlogging og betalingsløsninger.

Én behandling med lav risiko utløser ikke DPIA. Men når du kombinerer flere kilder, eller bruker opplysningene til profilering, segmentering eller oppfølging over tid, endrer bildet seg. Da bør du gjøre en konkret vurdering i stedet for å anta at det går fint.

Vær også klar over at det du oppfatter som harmløst, kan være personopplysninger. Det gjelder for eksempel telefonnummer, IP-adresser og metadata fra skjemaer. En gjennomgang av personvern og GDPR for nettsider gir utgangspunktet for hvilke behandlinger du bør kartlegge.

Vanlige fallgruver

Den vanligste feilen er å gjøre vurderingen etter at løsningen er satt i drift. Da blir DPIA-en en beskrivelse av noe som allerede har skjedd, og den retter ikke opp noe. En DPIA reparerer ikke en ulovlig behandling.

Den nest vanligste er å hoppe over behandlingsgrunnlaget. Uten et gyldig grunnlag etter artikkel 6 hjelper ingen risikovurdering. Avklar grunnlaget først, og vurder risikoen etterpå.

Andre typiske feil er tiltak som er så generelle at de ikke kan etterprøves, en vurdering som er kopiert fra en annen virksomhet, og en prosess som ikke dokumenteres underveis. Ansvarlighetsprinsippet krever at du kan vise hvordan du kom frem til konklusjonen, ikke bare at det finnes et dokument.

Mange glemmer leverandørkjeden. Behandler en underleverandør opplysninger for deg, må den inn i vurderingen på samme måte som egne systemer, med databehandleravtale og beskrivelse av sikkerhetstiltak.

Etter vurderingen: dokumentasjon, oppfølging og forhåndsdrøfting

Dokumenter hele prosessen: hvilke spørsmål dere stilte, hvem som deltok, hvilke vurderinger som ble gjort, og hvilke tiltak som ble besluttet, med ansvarlig og frist. Det er dette som gjør at du senere kan vise til etterlevelse.

Viser DPIA-en at behandlingen fortsatt medfører høy risiko som ikke kan reduseres tilstrekkelig med tiltak, skal du forhåndsdrøfte behandlingen med Datatilsynet før du setter i gang.

En DPIA er ikke et engangsdokument. Nye formål, nye systemer, ny leverandør eller endret datamengde kan endre risikobildet, og da må vurderingen oppdateres. Sett den inn i en fast rytme sammen med oversikten over behandlinger.

Har du også forpliktelser etter annet regelverk, kan vurderingene samkjøres. Etter artikkel 27 nr. 4 skal en FRIA utfylle DPIA-en der kravene allerede er dekket gjennom en DPIA, og i praksis gjennomføres de ofte som ett integrert dokument. Nettsaga hjelper bedrifter med å kartlegge hvilke behandlinger nettsiden faktisk gjør, og med å sette opp nettsiden slik at den støtter opp under kravene. Vil du se hvordan det fungerer, kan du book en demo.

Vanlige spørsmål

Må jeg gjøre DPIA for en vanlig nettside med kontaktskjema?

Som regel ikke for skjemaet alene. Et kontaktskjema med vanlige opplysninger gir lav risiko. Plikten utløses når behandlingen samlet sett sannsynligvis medfører høy risiko, for eksempel ved profilering, omfattende overvåking eller sensitive opplysninger.

Når skal DPIA-en være ferdig?

Før behandlingen starter. Vurderingen er en del av planleggingen, ikke en dokumentasjon du lager etter at løsningen er tatt i bruk.

Hva skjer hvis vi ikke gjør en DPIA?

Da oppfyller du ikke plikten etter artikkel 35, og virksomheten kan risikere sanksjoner fra Datatilsynet. Like viktig: du mister oversikten over risiko og tiltak før løsningen tas i bruk.

Kan vi bruke en mal for DPIA?

En mal hjelper med strukturen, men innholdet må beskrive deres behandling. En vurdering som er kopiert fra en annen virksomhet, sier ingenting om risikoen hos dere.

Er DPIA og FRIA det samme?

Nei. DPIA følger av GDPR artikkel 35, mens FRIA er en forhåndsvurdering av personvernkonsekvenser etter annet regelverk. Etter artikkel 27 nr. 4 skal FRIA-en utfylle DPIA-en, og de gjennomføres ofte som ett dokument.