Personvernsvurderinger

Personvernsvurderinger, eller DPIA (Data Protection Impact Assessment), er en systematisk vurdering av personvern- og databeskyttelsesrisikoer ved behandling av personopplysninger. En slik vurdering identifiserer og vurderer risikoer for enkeltpersoners rettigheter og friheter og beskriver tiltak for å redusere risikoen. Formålet er å sikre personvern som en del av design og standarddrift av behandling, i samsvar med GDPR, spesielt artikkel 35 om vurdering av personvernkonsekvenser.

En personvernsvurdering er påkrevd når behandlingen sannsynligvis vil medføre høy risiko til enkeltpersoners rettigheter og friheter, for eksempel ved omfattende kartlegging av individer, profilering på stor skala, sensitive opplysninger, overvåkning, bruk av ny teknologi, eller når data flyttes over grenser eller tilrettelegges for profilering av barn. I visse sektorer kan nasjonal lovgivning kreve DPIA, selv om risikoen ikke er høy.

Prosessen inkluderer vanligvis å beskrive behandlingen og formålet, vurdere nødvendigheten og proporsjonaliteten av behandlingen, identifisere risikoer og særlige personvernkonsekvenser, og foreslå og implementere avbøtende tiltak. Dersom risikoen for høy ikke kan reduseres til akseptabelt nivå, må berørte tilsynsorganer kontaktes før behandlingen igangsettes.

Utfallene av en personvernsvurdering bør dokumenteres i en DPIA-rapport, og opplysninger om vurderingen bør være tilgjengelige for relevante parter. Vurderingen er også en del av organisatoriske og styrende rammeverk for personvern og datasikkerhet.