Hva er en personvernkonsekvensvurdering-
En personvernkonsekvensvurdering, ofte forkortet PKV, er en systematisk gjennomgang av hvordan en planlagt behandling av personopplysninger kan påvirke personvernet til de registrerte. Vurderingen er hjemlet i artikkel 35 i personvernforordningen (GDPR), som også gjelder i Norge gjennom personopplysningsloven. Målet er å identifisere risikoer før behandlingen starter, og å beskrive tiltakene som skal redusere dem.
En god personvernkonsekvensvurdering er mer enn et formelt dokument. Den fungerer som et verktøy for å ta bedre beslutninger. Når virksomheten vet hvilke opplysninger som samles inn, hvorfor de samles inn og hvem som får tilgang til dem, blir det lettere å designe systemer som ivaretar personvernet fra starten. Dette kalles innebygd personvern, eller «privacy by design», og er et grunnprinsipp i GDPR.
For virksomheter som jobber med oppdrag, konsulenttjenester og digitale plattformer, er personvernkonsekvensvurdering særlig relevant. Det er ofte her personopplysninger flyttes mellom kunder, formidlere og leverandører, og da må ansvar, roller og risiko være tydelig avklart.
Når må du gjøre en personvernkonsekvensvurdering-
Ikke all behandling av personopplysninger krever en personvernkonsekvensvurdering. Plikten gjelder når behandlingen sannsynligvis medfører høy risiko for de registrerte. GDPR nevner særskilt tre situasjoner: systematisk og omfattende profilering med betydelige virkninger for enkeltpersoner, behandling i stor skala av sensitive opplysninger eller straffedommer, og systematisk overvåking av et offentlig område i stor skala.
I tillegg har Datatilsynet publisert en liste over typer behandling som som hovedregel krever en vurdering. Eksempler kan være bruk av ny teknologi, kombinering av datasett fra ulike kilder, sporing av brukeres atferd på tvers av tjenester, behandling av opplysninger om sårbare grupper, og bruk av biometri. Dersom flere av kriteriene er oppfylt, er det sannsynlig at en vurdering må gjennomføres.
Det er den som er behandlingsansvarlig som har plikt til å gjennomføre vurderingen, og som må vurdere om den er nødvendig. Ved oppdrag der flere aktører deler opplysninger, bør alle involverte parter avklare hvem som har ansvaret for hva. En felles forståelse av roller reduserer risikoen for at viktige forhold blir oversett.
Hva skal en personvernkonsekvensvurdering inneholde-
Artikkel 35 nummer 7 i GDPR angir minimumsinnholdet i en vurdering. Den skal beskrive den planlagte behandlingen og formålet med den, vurdere om behandlingen er nødvendig og står i forhold til formålet, og gjøre en risikovurdering av de registrertes rettigheter og friheter. Til slutt skal den beskrive tiltakene som skal håndtere risikoen, for eksempel tilgangsstyring, kryptering, pseudonymisering, opplæring og rutiner for sletting.
I praksis betyr dette at vurderingen bør svare på en rekke konkrete spørsmål. Hvilke personopplysninger behandles, og hvem gjelder de for- Hvor kommer opplysningene fra, og hvor lenge oppbevares de- Hvem har tilgang, og hvor overføres de- Finnes det leverandører eller underleverandører utenfor EØS- Hvordan kan de registrerte utøve sine rettigheter, som innsyn, retting og sletting-
Dokumentasjonen har også en egenverdi. Den viser tilsynsmyndigheter og kunder at virksomheten har gjort et aktivt og ansvarlig arbeid. Ved høy restrisiko etter tiltak må virksomheten i tillegg vurdere om den skal be Datatilsynet om forhåndsdrøfting etter artikkel 36.
Slik gjennomfører du en personvernkonsekvensvurdering
En praktisk gjennomføring starter med en beskrivelse av behandlingen. Involver de som kjenner systemet og prosessene best, slik som prosjektledere, IT-ansvarlige og jurister. Beskrivelsen bør være konkret nok til at en utenforstående kan forstå hva som skjer med dataene fra start til slutt.
Deretter identifiseres risikoer. Tenk gjennom hva som kan gå galt, både ved uautorisert tilgang, utilsiktet deling, feil i behandlingen og tap av data. Vurder sannsynlighet og konsekvens for den enkelte registrerte, ikke bare for virksomheten. Risikoen bør rangeres, slik at de største risikoene får mest oppmerksomhet.
Til slutt velges tiltak som reduserer risikoen til et akseptabelt nivå. Tiltakene bør følges opp, testes og evalueres over tid. En personvernkonsekvensvurdering er ikke et engangsarbeid. Når behandlingen endres, nye leverandører kommer inn eller nye teknologier tas i bruk, må vurderingen oppdateres.
Vanlige utfordringer i prosjekter med personopplysninger
Én av de vanligste utfordringene er at ansvar er uklart når flere aktører er involvert. Kunden, formidleren og leverandøren kan alle behandle personopplysninger, men med ulike roller. Det er avgjørende å avklare om partene er felles behandlingsansvarlige, selvstendige behandlingsansvarlige eller databehandlere, og å inngå nødvendige avtaler i tråd med GDPR.
En annen utfordring er datminimering. Mange prosjekter samler inn flere opplysninger enn de faktisk trenger. Spørsmålet bør alltid være om formålet kan oppnås med mindre informasjon, eller med anonymiserte eller pseudonymiserte data.
Det er også vanlig at vurderinger gjøres for sent, etter at systemet allerede er bygget. Da blir endringer dyre og vanskelige. Å tenke personvern tidlig i innkjøps- og utviklingsprosessen sparer både tid og kostnader.
Hvordan vi kan hjelpe deg med riktig leverandør
Vi formidler oppdrag mellom kunder og leverandører, og vi ser stadig flere forespørsler der personvern er en sentral del av oppdraget. Det kan gjelde alt fra juridisk bistand og rådgivning, til teknisk gjennomgang av systemer og utarbeidelse av dokumentasjon. Derfor hjelper vi kunder med å finne leverandører som har kompetanse på personvernkonsekvensvurderinger, dokumentasjon og GDPR-etterlevelse.
Når du sender en forespørsel til oss, hjelper vi deg med å beskrive behovet, slik at vi kan matche deg med en leverandør som passer. Vi kan også bistå med å avklare omfanget av oppdraget, og hvilke forhold som bør være på plass før arbeidet starter, for eksempel databehandleravtaler og en tydelig fordeling av ansvar.
Ønsker du å komme raskt i gang- Ta kontakt med oss, beskriv prosjektet ditt kort, og vi finner de rette fagpersonene for å gjennomføre personvernkonsekvensvurderingen på en trygg og effektiv måte.
Personvernkonsekvensvurdering i andre områder
BedriftLink
