Publicerad · Senast uppdaterad
Sammanfattning: En konsekvensbedömning (DPIA) är en pågående process – inte en blankett som fylls i en gång och arkiveras. Nya ändamål, ny teknik, mer data, nya integrationer, leverantörsbyten, nya mottagare eller en incident bör alla trigga en ny bedömning. Bygg därför in DPIA:n i projekt- och change-processen, gör den till ett riktigt beslutsunderlag och låt dataskyddsombudet vara involverat utan att äga beslutet.
En organisation inför ett nytt system. Någon gör en konsekvensbedömning. Dokumentet godkänns, arkiveras och glöms bort. Tre år senare har systemet fått nya moduler, nya integrationer, en ny leverantör, fler användare och ett nytt användningsområde. DPIA:n är fortfarande den från 2023.
Det är ett vanligt problem. Konsekvensbedömningen behandlas som en engångsblankett i stället för som ett levande beslutsunderlag.
Vad är det egentligen DPIA:n ska göra?
En konsekvensbedömning enligt GDPR ska hjälpa organisationen att identifiera och hantera riskerna för de registrerade innan en behandling påbörjas – särskilt när behandlingen sannolikt leder till hög risk. Det handlar om att förstå vad som faktiskt händer med uppgifterna, vilka konsekvenser det kan få för människor och vilka skyddsåtgärder som behövs.
Men riskerna ändras när behandlingen ändras. Därför kan inte bedömningen vara statisk.
Förändringar som bör trigga en ny bedömning
Det finns ingen exakt lista som passar alla, men i praktiken bör följande förändringar alltid leda till att DPIA:n ses över:
- Nytt ändamål – uppgifterna används för något annat än vad som ursprungligen bedömdes.
- Ny teknik – till exempel AI, automatiserat beslutsfattande, profilering eller ny analysfunktionalitet.
- Mer data – fler kategorier av uppgifter, känsliga uppgifter eller uppgifter om nya grupper av personer.
- Större omfattning – fler registrerade, fler användare eller bredare användning i organisationen.
- Ny integration – systemet kopplas till andra system och uppgifterna flödar på nya sätt.
- Leverantörsförändring – ny leverantör, ny underleverantör, ny driftmodell eller ny lagringsplats.
- Ny mottagare eller överföring – uppgifter delas med nya parter eller överförs till tredje land.
- Incident eller identifierad brist – något har hänt som visar att den tidigare riskbedömningen inte höll.
Ofta är det inte en enskild förändring som gör skillnad, utan summan av flera små steg som tagits under flera år utan att någon stannat upp och frågat: gäller vår bedömning fortfarande?
Bygg in DPIA i change-processen
Det enklaste sättet att undvika inaktuella bedömningar är att göra DPIA-frågan till en naturlig kontrollpunkt i det ni redan gör. Konsekvensbedömningen bör aktualiseras vid:
- projektstart
- systeminköp
- större change requests
- leverantörsbyte
- produktutveckling
- införande av AI-funktionalitet
- integrationsförändringar
Kontrollpunkten behöver inte vara stor. Ofta räcker en enkel fråga i change- eller projektmallen: Påverkar förändringen hur personuppgifter behandlas, och finns det en aktuell konsekvensbedömning som täcker den? Svaret avgör om det behövs en screening, en uppdatering eller en helt ny DPIA.
DPIA ska vara ett beslutsunderlag
En bra konsekvensbedömning är inte ett dokument som skrivs för tillsynsmyndigheten. Den är ett underlag för organisationens egna beslut. Den ska kunna svara på:
- Vad ska vi göra och varför?
- Vilka uppgifter behandlas, om vem och hur länge?
- Vilka risker innebär det för de registrerade?
- Hur allvarliga och sannolika är riskerna?
- Vilka skyddsåtgärder inför vi?
- Vilken risk kvarstår efter åtgärderna?
- Är kvarstående risk acceptabel – och vem beslutar det?
- Behöver vi samråda med tillsynsmyndigheten?
- När och vid vilka förändringar ska bedömningen ses över?
Integritetsskyddsmyndigheten (IMY) beskriver konsekvensbedömningen som en process i flera steg – från att avgöra om en DPIA behövs, via beskrivning av behandlingen och riskbedömning, till åtgärder, dokumentation och uppföljning. Den sista punkten är den som oftast faller bort.
DPO:n ska vara involverad – men ska inte äga beslutet
Enligt GDPR ska den personuppgiftsansvarige rådfråga dataskyddsombudet när en konsekvensbedömning görs. Ombudet ska ge råd, granska metoden och bedöma om skyddsåtgärderna är tillräckliga. Men beslutet om att genomföra behandlingen – och att acceptera den kvarstående risken – är verksamhetens och ledningens.
Om dataskyddsombudet i stället skriver, godkänner och äger DPIA:n försvinner både oberoendet och verksamhetens ansvar. Då blir bedömningen en formalitet – inte ett beslutsunderlag.
Så kan Kristensson i Skåne stödja
Vi arbetar med konsekvensbedömningar som en del av ett fungerande dataskyddsarbete – inte som en fristående pappersprodukt. Beroende på behov kan vi bidra med:
- screening av om en DPIA behövs
- DPIA-workshops med verksamhet, IT och juridik
- kartläggning av behandlingen och dataflöden
- juridisk och teknisk analys
- riskbedömning ur de registrerades perspektiv
- förslag till skyddsåtgärder
- dokumentation som håller vid granskning
- koppling till projekt-, inköps- och change-processen
- uppföljning och uppdatering av tidigare DPIA:er
En konsekvensbedömning som fortfarande stämmer är värd något. En som ligger i arkivet från 2023 är det inte.
Har ni konsekvensbedömningar som behöver ses över? Läs mer om vårt erbjudande inom dataskydd och integritet och GDPR-stöd, eller kontakta oss för ett förutsättningslöst samtal.
Källor: Dataskyddsförordningen (GDPR) artikel 35 om konsekvensbedömning avseende dataskydd och artikel 36 om förhandssamråd; Integritetsskyddsmyndigheten (IMY), vägledning om konsekvensbedömningar.
Den här texten är allmän information och utgör inte juridisk rådgivning i ett enskilt ärende.