Når må man ha DPIA?

Når plikter du å gjennomføre en DPIA? – Mer enn bare sensitive data

En DPIA, eller vurdering av personvernkonsekvenser (Data Protection Impact Assessment), er ikke bare en sjekkliste for sensitive data. Selv om behandling av slike opplysninger ofte utløser DPIA-plikt, er det et bredere spekter av faktorer som avgjør om du må gjennomføre en slik vurdering. Nøkkelen ligger i sannsynligheten for høy risiko for individers rettigheter og friheter, som beskrevet i artikkel 35 i personvernforordningen (GDPR).

Det holder ikke å kun konstatere hva slags data som behandles. Du må også vurdere hvordan dataene behandles. Selv behandling av tilsynelatende uskyldige opplysninger kan utløse DPIA-plikt hvis behandlingsmetoden introduserer høy risiko.

Hva utgjør høy risiko? Her er noen eksempler som kan utløse DPIA-plikt, utover behandling av sensitive personopplysninger:

• Systematisk og omfattende evaluering av personlige aspekter: Tenk deg et system som bruker kunstig intelligens til å profilere individer basert på deres nettaktivitet for å forutsi deres kjøpsvaner eller kredittverdighet. Selv om dataene i seg selv ikke er sensitive, kan den automatiserte analysen og den potensielle påvirkningen på individet utgjøre høy risiko.
• Storskala overvåking: Overvåking av et offentlig område med kameraer koblet til ansiktsgjenkjenning er et eksempel som krever DPIA. Omfanget av overvåkingen og potensialet for inngrep i personvernet er avgjørende faktorer.
• Matching eller sammenstilling av datasett: Å kombinere data fra ulike kilder for å skape et mer komplett bilde av en person kan utløse DPIA-plikt. Selv om de individuelle datasettene ikke er sensitive, kan kombinasjonen av dem avsløre sensitiv informasjon eller føre til uforutsette konsekvenser.
• Sårbare grupper: Behandling av personopplysninger om barn, eldre, eller personer med nedsatt funksjonsevne krever ofte en DPIA, selv om dataene ikke er sensitive. Disse gruppene er mer utsatt for negative konsekvenser av personvernbrudd.
• Innovative teknologier: Bruk av nye teknologier, som for eksempel kunstig intelligens, biometri, eller blockchain, kan utløse DPIA-plikt på grunn av usikkerhet knyttet til risikoen for personvernet.

Husk: Datatilsynet har utarbeidet en liste over behandlinger som alltid krever en DPIA. Det er også viktig å konsultere denne listen for å sikre at du overholder regelverket.

Å gjennomføre en DPIA er ikke bare et juridisk krav, det er også et viktig verktøy for å bygge tillit og ansvarlig databehandling. Ved å proaktivt vurdere og redusere risikoen for personvernet, kan du beskytte enkeltpersoner og styrke din organisasjons omdømme. Dersom du er usikker på om du trenger å gjennomføre en DPIA, er det alltid best å kontakte Datatilsynet for veiledning.