personvernkonsekvensutredning

Personvernkonsekvensutredning (PVKU) er en systematisk vurdering av personvernkonsekvenser ved behandling av personopplysninger i et prosjekt, system eller tjeneste. I Norge er PVKU nært knyttet til GDPRs krav om vurdering av personvernkonsekvenser (DPIA) og til nasjonal lovgivning om behandling av personopplysninger. Hensikten er å identifisere risikoer for enkeltpersoners rettigheter og friheter og å utvikle tiltak som gjør behandlingen lovlig, rettferdig og gjennomsiktig.

PVKU er obligatorisk når behandlingen av personopplysninger antas å medføre høy risiko for individets rettigheter og friheter. Dette kan gjelde ved storstilt behandling, omfattende systematisk overvåking, bruk av sensitive opplysninger, biometriske data, genetiske data, profilering eller automatiserte beslutninger som kan få juridiske eller betydelige konsekvenser for personer. I andre situasjoner anbefales PVKU som god praksis for å sikre personvern gjennom hele prosjektets livssyklus.

Prosessen innebærer å kartlegge formål, datatyper, behandlingsaktiviteter, mottakere, lagring og sletting, samt vurdere nødvendighet og forholdsmessighet. Det bygges en risikovurdering som identifiserer eksisterende og potensielle konsekvenser for personvernet og foreslår avbøtende tiltak. Tiltak kan omfatte dataminimering, pseudonymisering, kryptering, tilgangskontroller, prinsipper om personvern som standardinnstillinger, og ordninger for varsling og rettigheter for registrerte. Det forutsettes også involvering av databeskyttelsesrådgiver og, ved behov, forhåndskonsultasjon med tilsynsmyndigheten.

Utfallet av PVKU er en dokumentert rapport som beskriver risikoer og tiltak, og som sikrer at personvernet er integrert i prosjektet fra starten. PVKU bidrar til ansvarlighet og etterlevelse av regelverket, også ved overføring av data til andre land og gjennom avtaler med behandlere og databehandlere.