Hva er en DPIA-
En DPIA, eller personvernkonsekvensvurdering, er en systematisk gjennomgang av hvordan behandling av personopplysninger kan påvirke enkeltpersoners personvern. Begrepet kommer fra det engelske «Data Protection Impact Assessment» og er regulert i artikkel 35 i personvernforordningen (GDPR), som gjelder i Norge gjennom personopplysningsloven.
Hensikten med en DPIA er å identifisere risikoer før behandlingen starter, og å beskrive hvilke tiltak som skal redusere dem. Vurderingen handler ikke bare om teknisk sikkerhet. Den skal også vise at behandlingen er nødvendig, proporsjonal og i tråd med de grunnleggende prinsippene for personvern, som formålsbegrensning, dataminimering og lagringsbegrensning.
For mange virksomheter er en DPIA et viktig verktøy for å dokumentere ansvarlighet. Den viser tilsynsmyndighetene, kunder og samarbeidspartnere at man har tenkt gjennom konsekvensene av sin behandling av personopplysninger før den settes i gang.
Når er en DPIA påkrevd-
Ikke alle behandlinger krever en DPIA. Etter GDPR skal det gjennomføres en vurdering når behandlingen sannsynligvis medfører høy risiko for de registrertes rettigheter og friheter. Det er særlig aktuelt ved systematisk og omfattende profilering, behandling av store mengder sensitive opplysninger, eller systematisk overvåking av offentlige områder.
Datatilsynet har også publisert en liste over typer behandling som alltid krever en DPIA i Norge. Det kan være bruk av ny teknologi, som kunstig intelligens, biometri eller store datamengder, behandling der personer ikke vet at deres opplysninger brukes, eller sammenstilling av datasett fra ulike kilder.
Når du er i tvil, er det lurt å gjøre en vurdering uansett. En grundig DPIA kan forhindre kostbare feil, og det er enklere å justere en løsning før utvikling enn etter at den er tatt i bruk.
Slik gjennomfører du en DPIA
En god DPIA følger normalt noen faste steg. Først må du beskrive behandlingen: hvilke personopplysninger som samles inn, hvem de gjelder, hvilket formål behandlingen har, hvor opplysningene lagres og hvem som har tilgang til dem. Jo mer presis beskrivelsen er, desto lettere blir resten av arbeidet.
Deretter vurderer du nødvendighet og proporsjonalitet. Er det mulig å oppnå formålet med færre opplysninger, kortere lagringstid eller mindre innsyn- Dette steget er ofte der man oppdager at løsningen kan forenkles betydelig.
Det tredje steget er risikovurdering. Her ser du på hva som kan gå galt for de registrerte, for eksempel uautorisert innsyn, tap av data, feilaktige avgjørelser eller diskriminering. Hver risiko bør vurderes etter sannsynlighet og konsekvens.
Til slutt beskriver du tiltakene som skal redusere risikoene. Det kan være tilgangsstyring, kryptering, pseudonymisering, opplæring av ansatte, rutiner for sletting eller tydeligere informasjon til de registrerte. Restrisikoen må også vurderes. Hvis den fortsatt er høy, må du kontakte Datatilsynet før behandlingen starter, jf. artikkel 36 i GDPR.
Hvem bør gjennomføre DPIA-en-
Den behandlingsansvarlige har ansvaret for at DPIA-en blir gjennomført, men arbeidet krever ofte tverrfaglig kompetanse. Jurister, IT-arkitekter, informasjonssikkerhetsansvarlige og forretningsledere bør alle bidra. Personvernombudet skal rådspørres dersom virksomheten har et, og kan gi verdifulle innspill til både metode og konklusjon.
Mange virksomheter, særlig mindre selskaper, mangler intern kapasitet eller erfaring med dette arbeidet. Da kan det være nyttig å hente inn ekstern hjelp. Konsulenter med bakgrunn i personvern, juss og informasjonssikkerhet kan gjennomføre vurderingen, lage maler, og hjelpe med å implementere tiltakene som kommer frem.
Ved å bruke eksterne eksperter får du ikke bare en dokumentasjon som tilfredsstiller kravene, men også en vurdering som er praktisk gjennomførbar i din hverdag.
Vanlige feil ved DPIA
Flere feil går igjen i mange DPIA-er. En av de vanligste er at vurderingen gjennomføres for sent, altså etter at systemet er bygget eller behandlingen allerede pågår. Da blir det vanskelig å gjøre reelle endringer. En DPIA bør starte tidlig i prosjektet, helst i planleggingsfasen.
En annen feil er at risikovurderingen er for generell. Beskrivelser som «risiko for lekkasje» gir lite nytte. Det er bedre å beskrive konkrete scenarier, for eksempel at en ansatt med feil tilgangsnivå får innsyn i helseopplysninger.
Mange glemmer også de registrertes perspektiv. En DPIA handler om konsekvenser for mennesker, ikke bare for virksomheten. Spør deg selv hvordan en person ville opplevd behandlingen, og om han eller hun ville forventet den.
Til slutt blir dokumentasjonen ofte liggende i en skuff. En DPIA må oppdateres når behandlingen endres, og den bør gjennomgås jevnlig. Et levende dokument er langt mer verdifullt enn en engangsrapport.
Hvorfor bør du få hjelp til DPIA-en-
Personvern er et område i rask endring. Nye tjenester, skytjenester, kunstig intelligens og strengere krav fra tilsynsmyndigheter gjør at kompetansen må holdes oppdatert. For mange virksomheter er det mer effektivt å hente inn spesialister når behovet oppstår, enn å bygge egen kompetanse i alle detaljer.
Vi hjelper virksomheter med å finne rett leverandør for DPIA-oppdrag og andre personvernrelaterte prosjekter. Du beskriver behovet ditt, og vi finner konsulenter som har dokumentert erfaring fra din bransje og den type behandling du har. Det gir deg trygghet for at arbeidet blir gjort riktig, raskt og til en fornuftig pris.
Enten du står foran din første DPIA eller trenger å oppdatere en eksisterende vurdering, kan vi bidra med riktig kompetanse. Ta gjerne kontakt for en uforpliktende samtale om ditt behov, så finner vi den beste løsningen for deg og din virksomhet.
DPIA i andre områder
BedriftLink
