Konsekvensbedömning om dataskydd

Det är er riskanalys som ligger till grund för bedömningen om en konsekvensbedömning [1] är nödvändig, se avsnittet om säkerhet samt avsnittet om principen om integritet och konfidentialitet. Konsekvensbedömningen är en grundlig genomgång, där ni ska beskriva behandlingen och hur riskerna för de registrerades rättigheter och friheter hanteras. Även om ni inte är skyldiga att göra en konsekvensbedömning så är den ett användbart verktyg för att minska risken att göra fel eller förbise något.

Syftet med en konsekvensbedömning är att identifiera risker, vidta åtgärder för att hantera riskerna och bedöma om behandlingen är proportionerlig i förhållande till de risker som behandlingen medför. Konsekvensbedömning ska utföras av personuppgiftsansvarig innan behandlingen genomförs. Om en konsekvensbedömning har genomförts men risken förändras efterhand kan ni behöva göra en ny konsekvensbedömning.

Om personuppgiftsbehandling som sker med ny teknik, eller som på grund av sin art, omfattning, sammanhang och ändamål, sannolikt kan leda till hög risk för fysiska personers rättigheter och friheter, ska ni genomföra en konsekvensbedömning. Om personuppgiftsbehandlingen innehåller moment eller inslag så att två eller fler av kriterierna nedan är uppfyllda är huvudregeln att en konsekvensbedömning behöver göras [2]

1. utvärdering eller poängsättning
   
2. automatiskt beslutsfattande med rättsliga eller liknande betydande följder
3. systematisk övervakning
   
4. känsliga uppgifter eller uppgifter av mycket personlig karaktär
   
5. uppgifter som behandlas i stor omfattning
   
6. matchande eller kombinerande uppgiftsserier
   
7. uppgifter som rör sårbara registrerade
8. innovativ användning eller tillämpning av nya tekniska eller organisatoriska lösningar
9. om behandlingen i sig hindrar de registrerade från att utöva en rättighet eller använda en tjänst eller ett avtal.

Förhandssamråd [3] med tillsynsmyndigheten (IMY) ska genomföras om en konsekvensbedömning visar att behandlingen skulle leda till hög risk för registrerade om inte personuppgiftsansvarig vidtar åtgärder för att minska riskerna. Förhandssamråd ska begäras före behandlingen påbörjats och när det, trots att personuppgiftsansvarig vidtagit åtgärder, fortfarande föreligger en hög risk med behandlingen som ni som personuppgiftsansvariga inte kan åtgärda/komma runt själva.