DPIA - hvornår skal du lave en konsekvensanalyse?

DPIA står for Data Protection Impact Assessment. Den danske udgave af forordningen kalder det en konsekvensanalyse vedrørende databeskyttelse, og i praksis bruges begge ord om det samme. Analysen er et skriftligt arbejdsdokument, hvor virksomheden gennemtænker en ny behandling af personoplysninger, før den sættes i drift, og spørger sig selv, hvad der kan gå galt for de mennesker, oplysningerne handler om.

Det afgørende ord er "før". Artikel 35, stk. 1 kræver, at analysen foretages forud for behandlingen. En DPIA, der skrives et halvt år efter, at et nyt system er taget i brug, opfylder ikke kravet, og den kan heller ikke længere påvirke de valg, der allerede er truffet. Det er netop meningen med analysen, at den skal kunne ændre projektet - fx ved at færre oplysninger indsamles, at de slettes tidligere, eller at en løsning helt vælges fra.

En DPIA er heller ikke en generel risikovurdering af hele virksomheden. Den handler om én bestemt behandling eller en gruppe af lignende behandlinger med lignende høje risici, som kan samles i én analyse (artikel 35, stk. 1). Hvordan konsekvensanalysen passer ind i de øvrige pligter efter databeskyttelsesreglerne, kan du se i overblikket over GDPR for virksomheder.

Grundreglen i artikel 35, stk. 1 er, at der skal laves en konsekvensanalyse, når en type behandling sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder. Vurderingen ser på behandlingens karakter, omfang, sammenhæng og formål, og forordningen fremhæver brugen af nye teknologier som et særligt opmærksomhedspunkt.

Artikel 35, stk. 3 nævner tre tilfælde, hvor analysen navnlig er påkrævet. Ordet "navnlig" betyder, at listen ikke er udtømmende. Derudover skal tilsynsmyndigheden offentliggøre en liste over typer af behandling, der kræver en konsekvensanalyse (artikel 35, stk. 4). I Danmark er det Datatilsynet, og listen er værd at slå op, før du afgør, at din behandling falder udenfor. Tabellen viser, hvordan vurderingen typisk falder ud.

De to nederste rækker er lige så vigtige som de øverste. Mange små virksomheder har ingen behandlinger, der kræver en DPIA, og det er ikke et krav at lave en for hver ny proces. Til gengæld er det klogt at kunne vise, at man har taget stilling. En kort note om, hvorfor en behandling ikke vurderes at give høj risiko, er nok til at dokumentere overvejelsen.

Artikel 35, stk. 7 fastsætter et minimum på fire elementer. Forordningen bestemmer ikke en bestemt form, så analysen kan være et regneark, et notat eller et skema i et compliance-værktøj, så længe de fire dele er med og hænger sammen.

Den første del er en systematisk beskrivelse af behandlingen og formålene, herunder i givet fald den legitime interesse, virksomheden forfølger (litra a). Den anden er en vurdering af, om behandlingen er nødvendig og står i rimeligt forhold til formålet (litra b). Her ligger ofte den største gevinst, fordi spørgsmålet "kan vi nå målet med færre oplysninger?" tvinger projektet til at overveje alternativer. Den tredje er en vurdering af risiciene for de registreredes rettigheder og frihedsrettigheder (litra c), og den fjerde er de foranstaltninger, der skal imødegå risiciene, fx sikkerhedsforanstaltninger og garantier (litra d).

Et dokument, der kun opremser de fire overskrifter, giver ingen beskyttelse. Analysen skal kunne bruges af en, der ikke var med i projektet. Brug listen her til at tjekke, om det færdige dokument er konkret nok.

• Hvilke oplysninger behandles, om hvem, og hvor mange personer drejer det sig om?
• Hvor kommer oplysningerne fra, hvem har adgang, og hvor længe gemmes de?
• Hvilket formål tjener hver oplysning, og hvad sker der, hvis den udelades?
• Hvilke konkrete skader kan ramme de registrerede - misbrug, udelukkelse, overvågning eller tab af kontrol?
• Hvor sandsynlig og hvor alvorlig er hver risiko, før og efter foranstaltningerne?
• Hvem har godkendt analysen, og hvornår skal den tages op igen?

Har virksomheden tilsluttet sig en godkendt adfærdskodeks, skal det inddrages i vurderingen (artikel 35, stk. 8). Og det kan være relevant at spørge de registrerede eller deres repræsentanter, fx en medarbejderrepræsentant, hvad de mener om den planlagte behandling (artikel 35, stk. 9).

Rækkefølgen herunder bygger på artikel 35 og er tænkt som en arbejdsgang, der kan bruges igen, hver gang et nyt projekt med personoplysninger dukker op.

1. Screen projektet. Sammenhold behandlingen med de tre tilfælde i artikel 35, stk. 3 og med Datatilsynets liste. Er der ingen tegn på høj risiko, så skriv kort hvorfor, og stop her.
2. Saml de rigtige folk. Projektejeren, IT og den, der har ansvaret for databeskyttelse, skal være med. Leverer en ekstern part systemet, skal ansvarsfordelingen være på plads, typisk i en databehandleraftale.
3. Beskriv behandlingen. Formål, oplysninger, personkreds, dataflow og opbevaringstid (artikel 35, stk. 7, litra a).
4. Udfordr nødvendigheden. Gennemgå hver oplysning og spørg, om formålet kan nås mindre indgribende (litra b).
5. Vurder risiciene. Tag udgangspunkt i de registrerede og ikke i virksomheden. Hvad kan gå galt for dem, og hvor slemt vil det være (litra c)?
6. Vælg foranstaltninger. Beskriv, hvad der konkret gøres for at sænke hver risiko (litra d), og vurder risikoen igen bagefter.
7. Tag stilling til restrisikoen. Er den stadig høj, skal Datatilsynet høres, før behandlingen går i gang (artikel 36, stk. 1). Er den acceptabel, godkendes analysen og gemmes.
8. Sæt en dato for gennemgang. Analysen skal tages op igen, når risikoen ændrer sig, fx ved nye funktioner eller flere brugere (artikel 35, stk. 11).

Trin 1 og 8 er dem, der oftest springes over. Uden screeningen ved ingen, hvorfor der ikke blev lavet en analyse, og uden gennemgangen bliver analysen hurtigt et billede af et system, som ikke længere findes.

De fleste konsekvensanalyser ender i skuffen hos virksomheden, og sådan skal det være. Analysen skal ikke sendes til Datatilsynet som en formalitet. Forudgående høring er kun påkrævet, når analysen viser, at behandlingen vil føre til høj risiko, hvis virksomheden ikke selv træffer foranstaltninger til at begrænse den (artikel 36, stk. 1). I praksis betyder det, at høringen bliver aktuel, når virksomheden ikke kan finde foranstaltninger, der bringer risikoen ned.

Ved en høring sender virksomheden bl.a. formålet med behandlingen og de midler, der bruges, de planlagte foranstaltninger og garantier, kontaktoplysninger på databeskyttelsesrådgiveren, hvis der er en, og selve konsekvensanalysen. Er flere parter involveret, skal deres ansvarsområder også fremgå (artikel 36, stk. 3).

Mener Datatilsynet, at behandlingen vil overtræde forordningen, skal tilsynet give skriftlig rådgivning inden for op til otte uger efter modtagelsen af anmodningen. Fristen kan forlænges med seks uger, hvis behandlingen er kompleks, og tilsynet skal så give besked om forlængelsen senest en måned efter modtagelsen. Fristerne kan også sættes i bero, mens tilsynet venter på oplysninger, det har bedt om (artikel 36, stk. 2). Den tid skal med i projektplanen, fordi høringen skal ske, før behandlingen går i gang (artikel 36, stk. 1), og svaret kan påvirke projektet.

At springe en påkrævet analyse eller høring over er ikke uden følger. Databeskyttelsesloven § 41, stk. 1, nr. 1 gør overtrædelse af forordningens artikel 25-39 strafbar med bøde eller fængsel indtil 6 måneder. Bøderammerne og hvem der udmåler bøden, er beskrevet på GDPR-siden.

Har virksomheden udpeget en databeskyttelsesrådgiver, skal den dataansvarlige rådføre sig med rådgiveren, når der laves en konsekvensanalyse (artikel 35, stk. 2). Ansvaret for analysen ligger stadig hos den dataansvarlige. Rådgiverens rolle er at give råd og stille kritiske spørgsmål, ikke at skrive analysen og godkende den på egen hånd.

Det er ikke alle virksomheder, der har en databeskyttelsesrådgiver. Udpegningen er obligatorisk for offentlige myndigheder og for de virksomheder, hvor overvågning af mange mennesker eller store mængder følsomme oplysninger er selve kernen i forretningen (artikel 37, stk. 1). Mange virksomheder uden pligt vælger frivilligt at have en. Hvornår pligten indtræder, og hvad rollen indebærer, kan du læse om under DPO - databeskyttelsesrådgiver.

Har virksomheden ingen rådgiver, er stk. 2 ikke en hindring. Så sørger den dataansvarlige for, at nogen med indsigt i reglerne er med i arbejdet, typisk en intern compliance-ansvarlig eller en ekstern rådgiver. Det er især en god idé, når analysen ender tæt på grænsen for høj restrisiko.

Eksemplet viser, hvordan vurderingen kan forløbe i en mindre virksomhed, hvor svaret på "skal vi lave en DPIA?" ikke er indlysende.

Elise får et klart svar - hun kan vælge kortet, og vælger hun fingeraftrykket, slettes oplysningen, når hun melder sig ud. Havde Vagn drevet en kæde med mange tusinde medlemmer, ville behandlingen sandsynligvis være i stort omfang, så analysen typisk var påkrævet efter litra b, og vurderingen af restrisikoen skulle have været endnu grundigere.