Når må man gjennomføre en DPIA?
Du må gjennomføre en DPIA når en behandling sannsynligvis vil medføre høy risiko for personers rettigheter og friheter.
Med dette sikter man til når behandlingen kan få alvorlige negative konsekvenser for enkeltpersoners grunnleggende rettigheter og friheter, slik som retten til privatliv, ikke å bli diskriminert, ytringsfrihet og kontroll over egne personopplysninger, og at det er en reell mulighet for at dette kan skje.
DPIAen må være godkjent før behandlingenav personopplysninger kan starte.
Med «rettigheter og friheter» sikter man til de grunnleggende rettigheter, som for eksempel:
- Rett til privatliv
- Rett til ikke å bli diskriminert
- Ytringsfrihet
- Bevegelsesfrihet
- Rett til kontroll over egne opplysninger
Dersom en behandling av personopplysninger kan medføre at
Hva kan være "høy risiko" i praksis?
Her er noen konkrete eksempler:
1. Økonomisk skade
- Identitetstyveri: Hvis uvedkommende får tilgang til personopplysninger som navn, fødselsnummer eller bankkonto og bruker dem til å svindle.
Hvorfor høy risiko: Det kan få direkte økonomiske konsekvenser og vanskeliggjøre folks dagligliv.
2. Diskriminering eller urettferdig behandling
- Algoritmer som forskjellsbehandler: For eksempel at et system favoriserer visse grupper i jobb- eller lånesøknader.
- Feilaktige profiler: Hvis feil informasjon brukes til å kategorisere personer, og det påvirker utdanning, jobb eller forsikring.
Hvorfor høy risiko: Kan skade personers rett til likebehandling og frihet fra diskriminering.
3. Tap av kontroll over egne data
- Uventet viderebruk av data: Personopplysningene brukes på måter som den opplysningene omhandler ikke forventer
Hvorfor høy risiko: Personen mister kontroll over hvem som vet hva om dem, og kan bli utsatt for uønsket innblanding i privatlivet.
4. Belastning for privatliv eller omdømme
- Eksponering av sensitive opplysninger: Bilder, helsedata, personlige forhold eller andre særlig beskyttelsesverdige publiseres offentlig
Hvorfor høy risiko: Kan føre til psykisk stress, sosial stigmatisering eller tap av tillit.
5. Overvåking og inngripen i privatlivet
- Overvåking på arbeidsplass: Overvåking av e-post, PC-bruk, logging av aktiviteter eller bevegelser uten berettiget grunn
- Kameraovervåking: Kameraovervåking av bevegelser
Hvorfor høy risiko: Kan føre til psykisk stress, endrede handlingsmønstre, tap av tillit og fungere nedkjølende på ytringsrommet. Opplevd stort inngrep i privatlivet.
6. Teknologi og automatisering som kan skade eller fatte beslutninger utenfor menneskelig kontroll
- Automatiserte beslutninger uten menneskelig kontroll: F.eks. AI som avslår søknader eller gir urettferdige anbefalinger.
- Kombinering av datasett: Når ulike datakilder settes sammen og avslører nye sensitive opplysninger.
Hvorfor høy risiko: Personer kan bli rammet på måter de ikke har kontroll over eller kan forstå. Opplevd stort inngrep i privatlivet.
Typiske situasjoner hvor en DPIA er nødvendig:
Hvis ett eller flere av disse gjelder, bør du vurdere DPIA:
- Behandling av sensitive opplysninger
- Behandling av mange personer
- Systematisk overvåking
- Bruk av ny teknologi (f.eks. AI)
- Automatiserte avgjørelser
- Kombinering av datasett
- Sårbare grupper (barn, ansatte, pasienter)
Hva skal en DPIA inneholde?
Vi har utarbeidet en mal for DPIA som inneholder det man trenger å vurdere. Denne finner du i bunnen av denne siden.
En DPIA består vanligvis av disse delene:
1. Beskrivelse av behandlingen
- Hva slags data samles inn?
- Hvorfor samles de inn?
- Hvordan brukes de?
2. Vurdering av nødvendighet og forholdsmessighet
- Er det nødvendig å samle inn disse opplysningene?
- Finnes det mindre inngripende alternativer?
3. Risikovurdering
- Hva kan gå galt?
- Hvem kan bli berørt?
- Hvor alvorlig er konsekvensene?
4. Tiltak for å redusere risiko
- Kryptering
- Tilgangsstyring
- Dataminimering
- Rutiner og opplæring
Hva er forskjellen på en DPIA og en ROS?
Forskjellen på en vurdering av personvernkonsekvenser (DPIA) og en risiko- og sårbarhetsanalyse (ROS) er at en DPIA vurderer risiko for menneskene opplysningene gjelder sine rettigheter og friheter, mens en ROS vurderer typiske informasjonssikkerhetsrisiko (f.eks. uautorisert tilgang til data, tap av data, systemfeil og sikkerhetsbrudd).
Hvordan gjennomføre en DPIA (steg for steg)
Steg 1: Avklar behovet
- Vurder om behandlingen kan gi høy risiko
Steg 2: Beskriv behandlingen
- Lag en tydelig og konkret beskrivelse
Steg 3: Identifiser risiko
- Tenk gjennom hva som kan gå galt
Steg 4: Vurder tiltak
- Hvordan kan risiko reduseres?
Steg 5: Dokumenter
- Skriv ned hele vurderingen
Steg 6: Involver relevante personer
- Alle DPIAer skal rådføres med Personvernombudet
- Kontakt utøver av behandleransvaret for bistand til å gjennomføre DPIA
- DPIAer for administrative behandlinger skal godkjennes av leder
Steg 7: Vurder om dere må kontakte tilsynsmyndigheten
- Hvis risikoen fortsatt er høy etter tiltak, må dere rådføre dere med Datatilsynet
Hvorfor gjennomføre en DPIA?
Man gjør DPIA for å oppdage og redusere risiko for skade for de personopplysningene omhandler, sikre lovlig behandling, beskytte enkeltpersoner og forebygge problemer før de oppstår. GDPR krever DPIA når behandlingen sannsynligvis medfører høy risiko for personers rettigheter og friheter.
DPIA i forskning?
Ved innmelding av et forskningsprosjekt til Sikt Personverntjenester, vil Sikt bla.a.
- bistå UiO i å vurdere om behandlingen av personopplysninger i forskningsprosjektet medfører en så høy risiko for personvernet til de berørte, at kravet om DPIA er oppfylt, og
- bistå UiO i å gjennomføre en DPIA og finne hvilke tiltak som kan gjøres for å minimere risikoen for personvern til de berørte.
Etter at Sikt har gjennomført en DPIA, vil denne sendes over til personvernombudet på UiO for rådføring. Dersom verken personvernombudet eller utøver av behandleransvaret har noen invendinger vil DPIA godkjennes.
Det er UiO, ved utøver av behandleransvaret, selv som vurderer og eventuelt stiller seg bak Sikt Personverntjenesters vurdering og godkjenner DPIAene i forskning.
Mal for DPIA
Ta kontakt med utøver av behandleransvaret på behandlingsansvarlig@uio.no