Vad är en konsekvensbedömning, DPIA?
En konsekvensbedömning avseende dataskydd, DPIA, är en analys av risker för de registrerade som krävs innan en behandling som kan innebära hög risk påbörjas.
Kravet finns i dataskyddsförordningen. Bedömningen beskriver behandlingen, varför den behövs, vilka risker den medför och hur riskerna ska hanteras.
Ny teknik nämns särskilt i förordningen. Ett AI-verktyg som behandlar känsliga uppgifter eller många personers uppgifter kan därför behöva en bedömning. Integritetsskyddsmyndigheten har en förteckning över när det krävs.
AI-förordningen har en egen bedömning av konsekvenser för grundläggande rättigheter. Den gäller vissa användare av högrisksystem, bland annat offentliga organ.
Så fungerar det
Arbetet börjar med en beskrivning av behandlingen. Vilka uppgifter, om vilka personer, för vilket ändamål och var de behandlas. Sedan prövas om behandlingen är nödvändig och proportionerlig. Därefter bedöms riskerna för de registrerade och vilka åtgärder som minskar dem. Resultatet dokumenteras.
Ett exempel. Inför en AI-assistent för handläggare beskrivs vilka ärenden den kan läsa, vem som får fråga, var frågorna loggas och hur länge. Riskerna bedöms utifrån det, och åtgärder som behörigheter och gallring skrivs in.
Därför spelar det roll
Bedömningen tvingar fram svar på de frågor som annars dyker upp sent. Var uppgifterna hamnar, vem som kan nå dem och vad som händer om något går fel. Den ger också ett underlag som går att visa för tillsynsmyndigheten och för dem vars uppgifter behandlas.
Att tänka på
En konsekvensbedömning är ett levande dokument. Gör om den när behandlingen ändras, till exempel när AI kopplas till nya källor eller används för nya uppgifter.
Leverantören kan hjälpa till med fakta om tjänsten, men bedömningen är er. Den behöver utgå från hur ni använder verktyget.
Vad det betyder för er
Gör bedömningen innan ni inför verktyget. Var uppgifterna behandlas är ofta den fråga som påverkar resultatet mest.
Vanliga frågor
När krävs en konsekvensbedömning?
När en behandling sannolikt leder till hög risk för de registrerade. IMY har publicerat en förteckning över behandlingar där en bedömning alltid krävs.
Krävs det för en AI-assistent?
Det beror på vilka uppgifter den behandlar och hur. Ny teknik, känsliga personuppgifter och behandling i stor skala talar för att en bedömning behövs.
Vem gör konsekvensbedömningen?
Den personuppgiftsansvarige, med råd från dataskyddsombudet om ett sådant finns. Leverantören bör bidra med underlag om hur tjänsten fungerar.
Vad händer om risken är hög även efter åtgärder?
Då ska ni samråda med IMY innan behandlingen påbörjas.
Källor: Dataskyddsförordningen, artikel 35, på EUR-LexKonsekvensbedömning enligt GDPR hos IMY
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad