Hvad er en DPIA? Trin-for-trin guide

En DPIA, eller en Data Protection Impact Assessment, er en skriftlig analyse af, hvad en planlagt behandling gør ved menneskers rettigheder, og hvad I har tænkt jer at gøre ved det. Artikel 35 i GDPR gør den obligatorisk, når en behandling sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, og den skal laves, før behandlingen går i gang.

Den sidste sætning er der, problemerne opstår. Når nogen spørger, om der skal laves en DPIA, er systemet ofte valgt, kontrakten underskrevet og lanceringsdatoen meldt ud. På det tidspunkt kan analysen kun beskrive beslutninger, der allerede er truffet og det er en meget præcis beskrivelse af, hvordan en DPIA bliver en ren formalitet frem for et værktøj, der kan være med til at forme beslutningerne.

Lavet på det rigtige tidspunkt fungerer den anderledes. Den giver jer en dokumenteret begrundelse for de valg, I træffer om et system, og en gang imellem laver den valgene om.

Hovedpointer

• Artikel 35 kræver en DPIA, før behandlingen begynder, når behandlingen sandsynligvis indebærer en høj risiko for fysiske personer.
• Tre situationer udløser den altid efter artikel 35, stk. 3: systematisk og omfattende automatisk vurdering af personlige forhold, behandling af følsomme oplysninger i stort omfang, og systematisk overvågning af offentligt tilgængelige områder i stort omfang.
• Databeskyttelsesrådets ni kriterier er den praktiske test. To eller flere betyder som regel, at der skal laves en DPIA.
• Artikel 35, stk. 7, fastlægger fire ting, analysen skal indeholde, og en DPIA uden en af dem er ufuldstændig, uanset hvor lang den er.
• Er risikoen stadig høj efter afbødning, kræver artikel 36, at I hører Datatilsynet, før I går i gang.

Hvornår der skal laves en DPIA

Hovedreglen i artikel 35, stk. 1, er bevidst åben: der skal laves en DPIA, når en behandling "sandsynligvis vil indebære en høj risiko", under hensyn til dens karakter, omfang, sammenhæng og formål, og særligt hvor der indgår ny teknologi.

Tre tilfælde er nævnt udtrykkeligt i stk. 3. En systematisk og omfattende vurdering af personlige forhold baseret på automatisk behandling, herunder profilering, hvor afgørelser har retsvirkning eller tilsvarende betydelig virkning. Behandling i stort omfang af følsomme oplysninger eller oplysninger om strafbare forhold. Og systematisk overvågning af et offentligt tilgængeligt område i stort omfang.

Derudover udgiver hver tilsynsmyndighed en national liste over behandlinger, der altid kræver en. Datatilsynet i Danmark, IMY i Sverige og Datatilsynet i Norge har hver deres, og de er ikke ens. En nordisk koncern, der kører én proces på tværs af fire lande, bør tjekke alle fire lister frem for at gå ud fra, at den danske dækker.

Det er muligvis en kontroversiel holdning, men det kan give mening at se det som, at de nationale lister er mindre værd end screeningskriterierne. Lister er endelige og bliver hurtigt forældede, mens kriterierne nedenfor også rammer behandlinger, ingen havde tænkt på, da listerne blev lavet. Brug listerne som bagstopper og kriterierne som den test, I rent faktisk kører.

Kriterierne stammer fra Artikel 29-gruppens retningslinjer fra 2017, som Databeskyttelsesrådet har tilsluttet sig. To eller flere af dem betyder normalt en DPIA.

Hvordan bruger I oplysningerne?

• Vurdering eller scoring. Profilering, forudsigelse af adfærd eller vurdering af præstation, fx kreditscoring eller performanceanalyse af medarbejdere.
• Automatiske afgørelser med retsvirkning eller væsentlig virkning. Afgørelser truffet uden menneskelig medvirken, som rammer nogen mærkbart, fx automatisk afvisning af en ansøgning.
• Sammenstilling af datasæt. Kobling af data, der er indsamlet til forskellige formål, fx CRM-data koblet med berigelsesdata fra tredjepart.

Hvilke oplysninger er det, og om hvem?

• Følsomme eller meget personlige oplysninger. Særlige kategorier, strafbare forhold, økonomi eller lokationshistorik, fx helbredsoplysninger eller fagforeningsmedlemskab.
• Sårbare registrerede. Personer i en situation med magtubalance, fx medarbejdere, børn eller patienter.
• Behandling i stort omfang. Målt på mængde, geografisk rækkevidde, varighed og antal personer, fx en landsdækkende kundedatabase.

Hvordan foregår behandlingen?

• Systematisk overvågning. Observation, som folk ikke uden videre kan undgå, fx kameraovervågning eller overvågning af netværksaktivitet.
• Innovativ brug eller ny teknologi. Metoder, hvis virkninger endnu ikke er velbeskrevne, fx AI-baseret vurdering eller biometrisk adgangskontrol.
• Behandling, der afskærer en rettighed eller en ydelse. Hvor resultatet afgør, om man får adgang, fx automatisk svindelscreening, der nægter en konto.

Medarbejderovervågning rammer typisk tre på én gang. Det gør stort set ethvert AI-system, der rører personoplysninger, også og derfor lander AI-forordningens konsekvensanalyse for grundlæggende rettigheder og DPIA'en i stigende grad på det samme projekt.

Læs også: Din praktiske guide til AI-forordningen

Hvad analysen skal indeholde

Artikel 35, stk. 7, fastsætter et minimum på fire elementer, og auditorer læser efter alle fire.

En systematisk beskrivelse af behandlingen og formålene, herunder den dataansvarliges legitime interesse, hvis det er behandlingsgrundlaget. En vurdering af, om behandlingen er nødvendig og proportional i forhold til formålene. En vurdering af risiciene for de registreredes rettigheder og frihedsrettigheder. Og de foranstaltninger, I vil anvende for at imødegå risiciene, herunder garantier og sikkerhedsforanstaltninger.

Nummer to bliver oftest sprunget over. Nødvendighed og proportionalitet handler om, hvorvidt I kunne opnå det samme formål med færre oplysninger, kortere opbevaring eller en snævrere personkreds og svarer man ærligt, betyder det nogle gange, at planen skal laves om. En DPIA, der aldrig har overvejet en mindre udgave af behandlingen, har ikke rigtig lavet det trin.

I skal desuden indhente rådgivning fra jeres databeskyttelsesrådgiver, hvis I har en, efter artikel 35, stk. 2 og registrere, at I gjorde det.

Sådan undgår man, at DPIA'en bliver en skrivebordsøvelse

Tre ting adskiller en DPIA, der gør noget, fra en, der dokumenterer noget.

Start den, mens designet stadig kan flyttes. Det brugbare vindue er under kravspecifikation og leverandørvalg, ikke efter kontraktunderskrift. Kan intet laves om som følge af analysen, skriver I en begrundelse.

Inddrag dem, der ved, hvordan behandlingen faktisk foregår. Databeskyttelsesrådgiveren rådgiver, men systemejeren, leverandøransvarlige og den, der håndterer data til daglig, er dem, der ved, at opbevaringen står til syv år, fordi ingen har ændret standardindstillingen.

Kobl risikovurderingen til den metode, I allerede bruger. Kører I DPIA'er på en skala og et sprog, ingen andre i organisationen kender, bliver de svære at sammenligne og nemme at ignorere. Jeres eksisterende risikometode kan som regel overføres med små justeringer.

Og hold den i live. En DPIA beskriver en behandling på et bestemt tidspunkt. Når leverandøren skiftes, formålet udvides eller datasættet vokser, skal analysen genbesøges hvilket er lettere, hvis DPIA-gennemgang ligger i den samme årlige cyklus som jeres øvrige tilbagevendende complianceopgaver.

Når risikoen bliver ved med at være høj

Nogle gange rækker afbødningen ikke. Viser DPIA'en, at behandlingen fortsat vil indebære en høj risiko uden foranstaltninger, der begrænser den, kræver artikel 36 forudgående høring af tilsynsmyndigheden, inden behandlingen påbegyndes.

Det sker sjældnere, end folk frygter. De fleste høje risici kan håndteres med adgangsstyring, opbevaringsgrænser, pseudonymisering eller en anden leverandøraftale. De sager, der ender i forudgående høring, handler som regel om behandling, der var reelt ny, eller om en dataansvarlig, der ikke kunne finde en proportional version af det, de gerne ville.

Myndigheden har op til otte uger til at svare, og fristen kan forlænges med seks. Læg det ind i tidsplanen, hvis der er nogen chance for, at I får brug for det.

Hvor DPIA'er går galt

Fejlmønstrene går igen på tværs af organisationer.

Analysen kommer for sent til at påvirke noget. Risiciene beskrives fra organisationens synsvinkel frem for den registreredes, som er det perspektiv, artikel 35 faktisk beder om. Ingen ejer de afbødende handlinger, så de forbliver hensigter. DPIA'en skrives én gang til et system, der derefter ændrer sig væsentligt. Eller det mest udbredte der screenes slet ikke, så ingen ved, hvilke behandlinger der burde have haft en.

Det sidste punkt fortjener sin egen proces. En kort, dokumenteret screening af hver ny behandling, også dem der viser sig ikke at kræve en DPIA, er billig og besvarer det spørgsmål, en tilsynsmyndighed stiller først. Datatilsynet har i tilsynssager netop forudsat, at organisationer afdækker, hvilke behandlingsaktiviteter der kræver en konsekvensanalyse, og lægger en plan for at gennemføre dem.

At springe en påkrævet DPIA over hører under artikel 83, stk. 4, med bøder på op til 10 mio. euro eller 2 % af den globale årlige omsætning. I Danmark er der et lag mere, som er værd at kende: databeskyttelsesloven knytter strafansvar til overtrædelser af artikel 25 til 39, med bøde eller fængsel indtil seks måneder.

Hvor man starter

Overvej følgende i jeres arbejde med DPIA'er:

• Hver ny behandling får en kort screening, og screeningen skrives ned, også når svaret er nej
• I har tjekket de nationale lister for hvert land, I opererer i, ikke kun hjemmemarkedet
• DPIA'er begynder under design eller leverandørvalg, med en navngiven ejer fra forretningen
• Alle fire elementer i artikel 35, stk. 7, er til stede, herunder nødvendighed og proportionalitet
• Risiciene er beskrevet fra den registreredes perspektiv
• Afbødende foranstaltninger har ejere og frister, og nogen verificerer, at de blev gennemført
• Eksisterende DPIA'er gennemgås, når behandlingen ændrer sig, efter en fast cyklus

Screeningen først. Alt andet på listen afhænger af at vide, hvilke behandlinger I har med at gøre, og de fleste organisationer kan bygge den ind i deres eksisterende modtagelsesproces på en eftermiddag.

Cerivos platform til databeskyttelse kører DPIA'er som en struktureret proces frem for et dokument screening bygget ind i måden, nye behandlinger registreres på, elementerne fra artikel 35, stk. 7, opsamlet ensartet, afbødninger fulgt med ejere, og et komplet dokumentationsspor fra første vurdering til endelig beslutning.