Når trenger du en konsekvensvurdering etter GDPR artikkel 35?

Hva artikkel 35 faktisk krever av deg

Artikkel 35 nr. 1 sier at du som behandlingsansvarlig skal foreta en vurdering av personvernkonsekvenser, ofte kalt DPIA, når en type behandling sannsynligvis vil medføre høy risiko for fysiske personers rettigheter og friheter. Vurderingen skal gjøres før behandlingen starter. Det plasserer jobben i planleggingsfasen: når du vurderer nytt kundesystem, ny kundeklubb, nytt kameraoppsett eller ny analyse av kjøpsadferd, ikke når løsningen har vært i drift et halvt år.

Etter artikkel 35 skal vurderingen blant annet omfatte planlagte tiltak, garantier og mekanismer for å begrense risikoen, sikre vern av personopplysningene og påvise at forordningen overholdes. I praksis betyr det fire ting på papiret: en beskrivelse av selve behandlingen, en vurdering av om den er nødvendig og forholdsmessig, en risikovurdering, og en liste over tiltak som faktisk er gjennomført eller skal gjennomføres. Uten tiltakslisten er dokumentet mest en beskrivelse og lite en vurdering. Hvis du vil se sammenhengen med andre plikter på nettsiden, bør du lese regler for nettsider og netthandel: komplett guide for bedrifter.

Det finnes et unntak du bør kjenne. Har behandlingen grunnlag i lov eller forskrift, og det allerede er gjort en konsekvensvurdering i forbindelse med vedtakelsen av dette rettslige grunnlaget, gjelder ikke plikten etter nr. 1, med mindre nasjonal rett krever det. For de fleste små bedrifter betyr det lite i praksis, fordi behandlingen sjelden bygger på en slik lovpålagt vurdering. Standardsporet er å gjøre vurderingen selv.

Når behandlingen gir høy risiko

Artikkel 35 nr. 3 gir tre eksempler på behandlinger som sannsynligvis medfører høy risiko. Det første er systematisk og omfattende vurdering av personlige aspekter ved bruk av automatisert behandling, herunder profilering, der avgjørelser kan ha rettsvirkning for personen eller påvirke vedkommende i betydelig grad. Det andre er omfattende behandling av særlige kategorier av opplysninger etter artikkel 9, eller opplysninger om straffedommer og lovovertredelser. Det tredje er systematisk og omfattende overvåking av et område som er offentlig tilgjengelig.

Listen er ikke uttømmende. Vurderingen handler om art, omfang, formål og sammenhengen behandlingen skjer i, og bruk av ny teknologi er et eget moment i artikkel 35 nr. 1. Et enkelt tiltak trenger ikke gi høy risiko alene, men flere trekk ved samme behandling kan samlet løfte den dit. Et eksempel: en nettbutikk som samler kjøpshistorikk, kobler den mot tredjepartsdata og bruker resultatet til å styre hvilke tilbud kunden får, har beveget seg langt fra å sende ut en nyhetsbrevliste.

Tilsynsmyndigheten fører en liste over hvilke typer behandling som alltid krever konsekvensvurdering, jf. artikkel 35 nr. 4. Sjekk Datatilsynets liste før du konkluderer med at du er utenfor. Står behandlingen din der, er svaret gitt. Står den ikke der, må du gjøre den konkrete vurderingen selv og skrive ned hva du kom fram til.

Slik gjør du vurderingen i fire trinn

Trinn én er å beskrive behandlingen systematisk: hvilke opplysninger som samles inn, hvorfor, hvor de kommer fra, hvem som ser dem, hvor lenge de lagres, og hvilke systemer og leverandører som er involvert. Ta med manuelle rutiner og Excel-ark, ikke bare fagsystemet. Mange vurderinger blir svake fordi beskrivelsen stopper ved programvaren og glemmer hvordan ansatte faktisk jobber.

Trinn to er å vurdere nødvendighet og forholdsmessighet. Trenger du opplysningene for formålet, eller samler du inn fordi det er mulig? Er det et gyldig behandlingsgrunnlag etter GDPR artikkel 6: behandlingsgrunnlag for personopplysninger? Behandler du særlige kategorier, må du i tillegg ha grunnlag etter GDPR artikkel 9: særlige kategorier av personopplysninger. Her hjelper det å være konkret om hva som er definert som personopplysninger i din løsning, se GDPR artikkel 4: definisjoner og personopplysninger.

Trinn tre er å identifisere risiko for de registrerte: hva kan gå galt, hvor sannsynlig er det, og hvor alvorlig blir det for den det gjelder. Tenk på feil bruk internt, innsyn fra uvedkommende, sammenstilling av data til noe annet enn formålet, og hva som skjer hvis en leverandør svikter.

Trinn fire er tiltak og konklusjon. Beskriv hva du gjør for å redusere risikoen, og vurder om rest-risikoen fortsatt er høy. Er den det, skal du drøfte saken med tilsynsmyndigheten før behandlingen settes i gang, såkalt forhåndsdrøfting. Konklusjonen skal skrives ned med dato og navn, slik at den kan fremvises senere.

Dokumentasjon, oppfølging og leverandører

En konsekvensvurdering er ikke et dokument du lager én gang. Du skal foreta en gjennomgåelse for å vurdere om behandlingen utføres i samsvar med vurderingen, i det minste dersom risikoen endres. I praksis betyr det at du tar den fram når du bytter system, endrer lagringstid, kobler på en ny tredjepart eller begynner å bruke opplysningene til et nytt formål.

Har du leverandører som behandler opplysninger på dine vegne, må de være dekket av en databehandleravtale, og vurderingen bør vise hvordan du fører kontroll med dem. Se GDPR artikkel 28 og databehandleravtale: hva kreves? for hva avtalen skal inneholde.

Sporingsverktøy på nettsiden er en vanlig snubletråd. Statistikk, annonser og innbyggede tjenester samler ofte inn mer enn bedriften tror, og vurderingen bør dekke dette. Hvordan samtykke og informasjonskapsler skal håndteres, står i informasjonskapsler på nettsiden: dette sier reglene.

Vanlige feil som gjør vurderingen verdiløs

Den vanligste feilen er timing. Vurderingen skrives etter at systemet er satt i drift, og blir en etterpåkonstruksjon som beskriver det man allerede har bestemt. Da mister du muligheten til å endre løsningen mens det fortsatt er billig.

Den nest vanligste er at vurderingen er for generell. Setninger som at det er iverksatt egnede tekniske og organisatoriske tiltak, uten å si hvilke, gir ingen beskyttelse og ingen dokumentasjon. Skriv konkret: hvem har tilgang, hvor lenge lagres dataene, hvordan logges innsyn, og hvordan slettes data når kunden ber om det.

Den tredje er å tro at kravet bare gjelder store virksomheter. Artikkel 35 knytter seg til risikoen ved behandlingen, ikke til antall ansatte. En liten bedrift som behandler sensitive opplysninger om mange nok personer, kan havne i kravet. Den fjerde er å glemme leverandørkjeden, slik at vurderingen beskriver eget system men ikke tredjepartene som får se de samme dataene. Den femte er å ikke forstå at vurderingen skal vise at du har tenkt, ikke at du har rett.

Vanlige spørsmål

Når må jeg gjøre en konsekvensvurdering etter GDPR artikkel 35?

Når en planlagt behandling sannsynligvis vil medføre høy risiko for fysiske personers rettigheter og friheter, eller når behandlingen står på tilsynsmyndighetens liste over behandlinger som alltid krever vurdering. Vurderingen skal være gjort før behandlingen starter.

Må små bedrifter også gjøre DPIA?

Kravet henger sammen med risikoen ved behandlingen, ikke med størrelsen på virksomheten. Behandler du sensitive opplysninger i stort omfang, eller profilerer kundene dine systematisk, kan kravet gjelde selv med få ansatte. Er behandlingen enkel og oversiktlig, kan du i stedet dokumentere hvorfor høy risiko ikke foreligger.

Hva skal en konsekvensvurdering inneholde?

En systematisk beskrivelse av behandlingen og formålet, en vurdering av nødvendighet og forholdsmessighet, en risikovurdering for de registrerte, og en beskrivelse av tiltak, garantier og mekanismer for å begrense risikoen. I tillegg bør den vise konklusjonen og hvem som har godkjent den.

Må jeg sende vurderingen til Datatilsynet?

Nei, den skal ikke sendes inn som en fast rutine. Du må kunne legge den fram hvis tilsynsmyndigheten ber om det. Blir rest-risikoen fortsatt høy etter at tiltak er planlagt, skal du derimot drøfte behandlingen med tilsynsmyndigheten før den settes i gang.

Hva skjer hvis jeg ikke har gjort vurderingen?

Da har du behandlet personopplysninger uten å ha vurdert risikoen, og du mangler dokumentasjonen som viser at behandlingen er lovlig. Det svekker din posisjon både i en tilsynssak og i en eventuell klage fra en kunde eller ansatt.