DPIA og personvernkonsekvensvurdering

En Data Protection Impact Assessment (DPIA) er en strukturert prosess som kreves i henhold til GDPR artikkel 35 for behandling av aktiviteter som utgjør høy risiko for enkeltpersoners personopplysninger. En DPIA fanger opp naturen, omfanget, konteksten og formålet med behandlingen; vurderer nødvendighet, proporsjonalitet og etterlevelsestiltak; identifiserer og vurderer risikoer for registrertes rettigheter og friheter; og spesifiserer tiltak for å håndtere disse risikoene (sikkerhetskontroller, pseudonymisering, dataminimering, oppbevaringsgrenser). Støttemidler inkluderer dataflytkart (hvordan personopplysninger beveger seg gjennom systemer og på tvers av landegrenser), legitime interessevurderinger og tredjeparts databehandlerregistre.

DPIAer er lovpålagt under GDPR artikkel 35 for behandling som sannsynligvis vil resultere i høy risiko for enkeltpersoner – inkludert systematisk profilering, storskala behandling av spesielle kategorier av data og systematisk overvåking av offentlig tilgjengelige områder. Unnlatelse av å gjennomføre en påkrevd DPIA kan resultere i regulatoriske straffer og viser mangel på ansvarlighet – et sentralt GDPR-prinsipp. Utover lovlig overholdelse, demonstrerer DPIAer overfor regulatorer og registrerte at organisasjonen systematisk har vurdert og adressert personvernrisikoer. De kreves også i økende grad av personvernlover utenfor EU (brasiliansk LGPD, UK GDPR, California CPRA) og av forsikringsleverandører som bevis på personvernrisikostyring.

Fullstendige DPIA-rapporter dekker hele vurderingen – behandlingsbeskrivelse, nødvendighets- og proporsjonalitetsvurdering, risikoidentifikasjon, konsultasjonsregistreringer (med databeskyttelsesansvarlig og, der det er nødvendig, tilsynsmyndighet), og avbøtende tiltak. Dataflytkart og inventar viser hvordan personopplysninger beveger seg gjennom systemer, på tvers av landegrenser og mellom prosessorer – støtter registreringer av behandlingsaktiviteter (ROPA) og beredskap for bruddvarsling. Legitime interessevurderinger (LIA) er tredelte vurderinger som kreves for behandling basert på legitim interesse som lovlig grunnlag i henhold til GDPR artikkel 6(1)(f). Tredjepartsbehandlerregistre sporer alle databehandlere og underbehandlere, inkludert status for databehandlingsavtaler (DPA), overføringsmekanismer og plassering – nødvendig for pågående GDPR-ansvar.

DPIan-ressurser, dataflytkart og prosessorregistre lastes opp til Sustalium og kobles til de relevante rammeverkene for personvernsamsvar. Personvernbevis kobles til GDPR-overholdelsesregistre, prosedyrer for registrerte rettigheter og bruddsvarslingsprotokoller. Sustalium sporer DPIA-gjennomgangsplaner – DPIA-er må gjennomgås når behandlingsoperasjoner endres betydelig – og flagger utløpende DPIA-er for ny vurdering. Behandlerregistre er knyttet til anskaffelsesposter slik at nye prosessorengasjementer automatisk utløser krav til DPIA-gjennomgang. For organisasjoner som opererer på tvers av flere jurisdiksjoner, kartlegger Sustalium overholdelse av personvernkrav til gjeldende nasjonale implementeringer av GDPR og andre personvernlover.

GDPR er det primære rammeverket – Artikkel 35 krever DPIAer, Artikkel 30 krever registreringer av behandlingsaktiviteter, Artikkel 32 krever registrerte sikkerhetstiltak, og Artikkel 33 krever registrerte prosedyrer for bruddvarsling. EU AI Act krever DPIA-lignende konsekvensvurderinger for høyrisiko AI-systemer. DORA krever IKT-risikovurderinger som overlapper med DPIA databehandlingskartlegging. ePersonverndirektivet krever personvernvurderinger for elektronisk kommunikasjonsbehandling. Personvernlover utenfor EU, inkludert Storbritannias GDPR, brasilianske LGPD, California CPRA og Kinas PIPL har alle DPIA eller tilsvarende krav. ISO 27701 (håndtering av personverninformasjon) krever registrerte prosesser for vurdering av personvernkonsekvenser.