personvernkonsekvensvurderinger

Personvernkonsekvensvurdering (PKV) er en systematisk vurdering av hvilke personopplysninger som behandles, formålene med behandlingen, og hvilke risikoer denne behandlingen innebærer for registrertes personvern, samt hvilke tiltak som kan redusere risikoen. PKV-ens formål er å sikre at personopplysningsbehandling skjer i samsvar med personvernlovgivningen, å informere beslutningstakere og å redusere risiko for registrerte.

I GDPR artikkel 35 og i nasjonal lovgivning kreves PKV når behandlingen sannsynlig vil medføre høy risiko for registrertes rettigheter og friheter, spesielt ved systematisk overvåkning, storstilt behandling av sensitive data, eller bruk av ny teknologi. Dataansvarlig har ansvar for å gjennomføre PKV og å innhente innspill fra personvernombudet eller Datatilsynet ved behov.

Prosessen omfatter: å beskrive behandlingsaktiviteter og formål, å vurdere nødvendige og forholdsmessige tiltak for dataminimering og formålsbegrensning, å identifisere risikoene mot registrertes rettigheter og friheter, å vurdere eksisterende og nødvendige tiltak (for eksempel tilgangskontroller, kryptering, pseudonymisering og oppbevaringstider), samt å dokumentere residual risiko og planlegge gjennomføring av forbedringer. Det kan også være aktuelt å konsultere berørte parter og å kontakte Datatilsynet ved høy risiko.

PKV resulterer i en vurderingsrapport og en plan for gjennomføring av tiltak. Dokumentasjonen brukes som beslutningsgrunnlag og som del av samsvar med GDPR og nasjonal lovgivning.