TL;DR
En konsekvensbedömning är obligatorisk innan behandlingen inleds när hög risk är sannolik. Den polska myndighetens förteckning (M.P. 2019 nr 666) nämner tolv kategorier av behandlingar. WP248 ger nio kriterier: uppfylls två ska bedömningen i regel göras. Kvarstår hög risk kräver art. 36 samråd med myndigheten före start.
Det vanligaste felet gäller inte innehållet utan tidpunkten
Art. 35.1 lämnar inget utrymme: bedömningen görs FÖRE behandlingen. I praktiken skrivs konsekvensbedömningen nästan alltid när systemet redan är i drift och någon — en kund, en revisor, myndigheten — efterfrågar den. Ett dokument som skrivs i efterhand kan vara sakligt riktigt och ändå inte uppfylla skyldigheten, eftersom bedömningen ska bära beslutet om att gå vidare, inte rättfärdiga att man gick vidare. Skillnaden syns i dokumentets datum, och ingen senare omskrivning rättar den.
Myndighetens förteckning och WP248-kriterierna är två olika verktyg
Meddelandet från den polska myndighetens ordförande av den 17 juni 2019, kungjort i Monitor Polski (M.P. 2019 nr 666), innehåller en förteckning över tolv kategorier av behandlingar som kräver bedömning, med exempel. Den är inte den enda utgångspunkten: vid sidan av den står artikel 29-gruppens riktlinjer (WP248 rev.01), antagna av EDPB, med nio kriterier — utvärdering eller poängsättning, automatiserade beslut med rättslig verkan, systematisk övervakning, särskilda kategorier av uppgifter, storskalig behandling, sammanförande av datamängder, sårbara registrerade, innovativ användning av teknik och hinder mot att utöva en rättighet eller använda en tjänst. Uppfylls två av dem ska bedömningen i regel göras.
- Myndighetens förteckning verkar bara åt ett håll: står behandlingen där är bedömningen obligatorisk. Står den inte där betyder det inte att den inte är det.
- Art. 35.7 anger minimiinnehållet: en systematisk beskrivning av behandlingarna och ändamålen, en bedömning av nödvändighet och proportionalitet, en bedömning av riskerna för rättigheter och friheter samt planerade åtgärder.
- Art. 35.9: den personuppgiftsansvarige inhämtar synpunkter från registrerade eller deras företrädare, om det inte är omöjligt eller skadar affärsintressen. Uteblivet samråd ska motiveras, inte förtigas.
- Art. 36: kvarstår hög risk trots åtgärderna ska myndigheten samrådas med före start. Svarsfristen är åtta veckor, förlängbar med sex.
En mall är en utgångspunkt, inte det färdiga dokumentet
En mall för konsekvensbedömning beskriver en struktur, inte er behandling. En bedömning som ingen har anpassat till de faktiska uppgiftskategorierna, omfattningen och tekniken känns igen direkt och håller inte i någon tvist: den innehåller inget som inte hade kunnat skrivas utan kännedom om organisationen. Mallen sparar en timmes formgivning, inte analysen.
Även art. 35.11 gäller: bedömningen ska ses över när risken förändras. Ett leverantörsbyte, en ny modul, en överföring utanför EES kan var för sig göra en två år gammal bedömning värdelös. Den är inget arkivdokument utan det levande protokollet över ett beslut.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
