Art. 35: DPIA ved sannsynlig høy risiko
Når en behandling, særlig ved bruk av ny teknologi, sannsynligvis vil medføre høy risiko for registrertes rettigheter og friheter, skal den behandlingsansvarlige gjennomføre en vurdering av konsekvensene for personvernet før behandlingen starter.
Ombudets rolle etter artikkel 39
- Gi råd om når en DPIA er påkrevd og hvordan den gjennomføres
- Kontrollere at vurderingen faktisk er gjennomført, ikke bare planlagt
- Koble vurderingen til riktig aktivitet i behandlingsprotokollen
- Følge opp tiltakene vurderingen peker på, ikke bare konklusjonen
Løsrevet dokument eller koblet vurdering
Vurderingen der aktiviteten allerede lever
DPO Workspace kobler hver DPIA til riktig behandlingsaktivitet og riktig klient, med varsel når en høyrisiko-aktivitet mangler vurdering. 30 dager gratis, uten kredittkort.
Prøv gratisOfte stilte spørsmål
Hva er en DPIA / personvernkonsekvensvurdering?
En personvernkonsekvensvurdering (DPIA, av engelsk Data Protection Impact Assessment) er en strukturert vurdering som skal avdekke og redusere risiko for registrertes rettigheter og friheter, før en ny behandling av personopplysninger settes i gang. Den er et sentralt verktøy for å dokumentere at virksomheten har vurdert og håndtert risikoen i tråd med GDPR.
Når må virksomheten gjennomføre en DPIA?
Etter GDPR artikkel 35 er DPIA påkrevd når en behandling, særlig ved bruk av ny teknologi, sannsynligvis vil medføre høy risiko for registrertes rettigheter og friheter. Datatilsynet gir veiledning om hvilke behandlinger som typisk utløser plikten.
Er det behandlingsansvarlig eller personvernombudet som gjennomfører DPIA?
Det er den behandlingsansvarlige som har plikt til å gjennomføre vurderingen. Personvernombudets rolle etter artikkel 39 er å gi råd om DPIA og kontrollere at den gjennomføres riktig -- ombudet erstatter ikke den behandlingsansvarliges ansvar, men skal involveres tidlig i prosessen.
Finnes det en offisiell norsk mal for DPIA?
Helsedirektoratet har publisert en egen veileder for personvernkonsekvensvurdering rettet mot helsesektoren, og Datatilsynet gir generell veiledning om når og hvordan en DPIA skal gjennomføres. Ingen av dem er obligatoriske skjemaer -- de beskriver hva vurderingen må dekke, ikke hvilket verktøy den skal føres i.
Hvordan henger DPIA sammen med behandlingsprotokollen?
En DPIA vurderer risikoen ved én bestemt behandlingsaktivitet, som allerede er beskrevet i protokollen etter artikkel 30. Holdes de to atskilt i separate dokumenter, mister du sporbarheten mellom hvilken aktivitet som er risikovurdert og hvilken som ikke er det -- nettopp det Datatilsynet vil se ved en henvendelse.
Kan samme DPIA-mal gjenbrukes på tvers av flere klienter?
Metoden kan gjenbrukes, innholdet kan ikke. To klienter i samme bransje kan ha ulike risikofaktorer -- ulik mengde data, ulike mottakere, ulike tekniske løsninger. En DPIA kopiert fra én klient til en annen dokumenterer ikke den faktiske risikoen hos den andre, og holder ikke ved en eventuell kontroll.
Koblet, ikke løsrevet
DPIA knyttet til riktig aktivitet og riktig klient, med varsel når noe mangler.
Start gratis