En DPIA krävs när en planerad typ av behandling sannolikt medför en hög risk för registrerades rättigheter och friheter enligt GDPR artikel 35. Bedömningen ska göras innan behandlingen startar, inte i efterhand. Vanliga triggers är systematisk profilering, känsliga uppgifter i stor skala och utbredd övervakning. Vid osäkerhet efter screening bör du konsultera IMY:s förteckning eller ta kontakt med tillsynsmyndigheten.
Kort sagt:
- En DPIA krävs om behandlingen sannolikt innebär en hög risk för registrerades rättigheter, framför allt vid systematisk profilering eller storskalig hälsodatahantering.
- Om behandlingen möter minst två av följande kriterier – profilering med rättsverkan, storskalig behandling av känsliga uppgifter eller allmän övervakning – är sannolikheten för DPIA-krav hög.
- En tidigare DPIA får ofta återanvändas om riskprofilen är oförändrad, men missar man att involvera dataskyddsombudet riskerar man att underskatta kvarstående hög risk.
- En DPIA ska göras innan projektet startar och måste uppdateras när behandlingen förändras, för att fungera som ett levande verktyg för riskhantering.
- Att betrakta DPIA-plikten som en checklista är fel; rätt tidpunkt är tidigt i projektet, med en tydlig dokumentation för att kunna visa efterlevnad vid tillsyn.
Innehållsförteckning
- Juridisk grund: artikel 35 och kompletterande riktlinjer
- Vilka kriterier och triggers kräver ofta en DPIA?
- När en DPIA inte är nödvändig och vanliga undantag
- Praktiska exempel: när krävs DPIA i verkligheten?
- Hur avgör du i praktiken om DPIA behövs?
- Roller och ansvar: vem gör vad i en DPIA?
- Praktisk checklista och stöd i vardagen
- Min syn på DPIA-plikten
- Källor
Juridisk grund: artikel 35 och kompletterande riktlinjer
Artikel 35.1 i GDPR slår fast att en konsekvensbedömning ska genomföras när en typ av behandling, särskilt med ny teknik, sannolikt leder till hög risk för fysiska personers rättigheter. Bestämmelsen är teknikneutral med avsikt. Lagstiftaren visste att riskbilden förändras snabbare än lagtext, så kravet formulerades kring sannolik risk snarare än en fast lista över förbjudna metoder.
Artikel 35.3 ger tre konkreta exempel: omfattande profilering med rättsverkan, storskalig behandling av särskilda kategorier av uppgifter, och systematisk övervakning av allmän plats. Artikel 35.4 går ett steg längre och tillåter varje nationell tillsynsmyndighet att komplettera med egna förteckningar. IMY:s förteckning fyller ut de svenska gråzonerna som EU-texten lämnar öppna.
Det som ofta missas är slutklämmen i artikel 35: om DPIA:n visar kvarvarande hög risk som inte går att åtgärda genom tekniska eller organisatoriska skyddsåtgärder, måste den personuppgiftsansvarige rådgöra med tillsynsmyndigheten innan behandlingen påbörjas. Det är inte en rekommendation, det är ett krav.
- Artikel 35.1 anger huvudregeln: DPIA vid sannolik hög risk.
- Artikel 35.3 listar tre EU-gemensamma exempel på högriskbehandling.
- Artikel 35.4 öppnar för nationella tilläggslistor, som IMY:s förteckning.
- Kvarvarande hög risk utlöser en skyldighet att kontakta tillsynsmyndigheten.
Vilka kriterier och triggers kräver ofta en DPIA?
Screeningen börjar med att identifiera om behandlingen träffar någon av de erkända riskkategorierna. Europeiska kommissionens vägledning pekar ut tre huvudgrupper som i praktiken fångar de flesta högriskfall.
- Systematisk och omfattande profilering eller automatiserat beslutsfattande med rättsliga eller väsentliga följder för individen, till exempel automatiserade kreditbeslut eller anställningsscreening.
- Storskalig behandling av särskilda kategorier av uppgifter, som hälsodata, biometri eller genetisk information, särskilt när uppgifterna samlas från många registrerade samtidigt.
- Systematisk övervakning av allmän plats, positionsspårning eller samkörning mellan register som inte ursprungligen samlades in för samma syfte.
- Ny teknik i kombination med annan riskfaktor, exempelvis AI-drivna analysverktyg eller uppkopplade sensorer (IoT) som kombineras med storskalig insamling.
Proffstips: Fungerar bäst som tumregel: om behandlingen träffar minst två av dessa kriterier samtidigt är sannolikheten hög att en DPIA krävs, även om vart och ett av kriterierna för sig kanske inte hade räckt. Kombinationen av flera mindre riskfaktorer signalerar ofta större behov av DPIA än ett enskilt kriterium gör på egen hand, vilket gör tvåkriterieregeln till en pragmatisk och försvarbar screeningmetod i praktiskt arbete.
När en DPIA inte är nödvändig och vanliga undantag
Alla behandlingar med viss riskexponering kräver inte en ny DPIA. Om ni redan genomfört en likartad bedömning för en jämförbar behandling, med samma typ av uppgifter, samma ändamål och samma riskprofil, kan den återanvändas efter en kontroll av att förutsättningarna fortfarande stämmer.
- En tidigare DPIA kan återanvändas om behandlingen är tillräckligt likartad och riskbilden inte har förändrats.
- Behandling som redan genomgått en lagstadgad konsekvensbedömning inom annan reglering kan vara undantagen.
- Begränsad behandling där inget av kriterierna i artikel 35.3 eller IMY:s förteckning är uppfyllt kräver normalt ingen DPIA.
- Dokumentera alltid resonemanget bakom beslutet att avstå, inklusive vilka kriterier ni bedömt och varför de inte slår till.
Praktiska exempel: när krävs DPIA i verkligheten?
Abstrakta kriterier blir tydligare med konkreta fall. Ett fintechbolag som kör automatiserade kreditbedömningar i stor skala, med scoringmodeller som direkt styr om en kund beviljas lån, hamnar rakt i kriteriet för profilering med rättsverkan. En vårdgivare som bygger en ny patientdatabas för att samköra journaldata från flera mottagningar kombinerar storskalig behandling av hälsodata med samkörning, vilket nästan alltid utlöser DPIA-krav. Kollektivtrafikbolag som installerar kameraövervakning med ansiktsigenkänning på stationer möter kriteriet för systematisk övervakning av allmän plats direkt.
Motsatsen gäller för en enskild läkarmottagning som för journaler över sina egna patienter på traditionellt sätt. Det är fortfarande känsliga uppgifter, men skalan är begränsad, ändamålet är väntat av patienten och ingen ny teknik eller systematisk övervakning tillkommer.
- Kreditscoring i stor skala: hög risk, DPIA krävs normalt.
- Ny sammanslagen patientdatabas: hög risk genom skala och samkörning.
- Ansiktsigenkänning i kollektivtrafik: träffar övervakningskriteriet direkt.
- Ordinär journalföring på en liten mottagning: sällan DPIA-pliktigt, men dokumentera bedömningen.
Skillnaden ligger nästan alltid i skala och kontext, inte i uppgiftstypen ensam. Två verksamheter kan hantera identiska personuppgifter och landa på helt olika slutsatser beroende på hur många registrerade som berörs och vilket syfte behandlingen tjänar.
Hur avgör du i praktiken om DPIA behövs?
Screeningen ska starta så tidigt som möjligt i projektet, innan behandlingen påbörjas, inte som en efterkonstruktion när systemet redan är i drift. En DPIA fungerar bäst som ett levande dokument som uppdateras när behandlingen förändras, inte som en engångsrapport som läggs i en pärm.
- Identifiera behandlingen i detalj: vilka uppgifter, vilket ändamål, vilken skala och vilka mottagare.
- Bedöm sannolik hög risk mot artikel 35.3 och IMY:s förteckning, gärna med tvåkriterieregeln som riktmärke.
- Dokumentera beslutet, oavsett om ni landar i att DPIA krävs eller inte, inklusive DPO:s synpunkter.
- Genomför bedömningen om triggern slår till: beskriv behandlingen, bedöm nödvändighet och proportionalitet, identifiera risker och föreslå åtgärder.
- Rådgör med tillsynsmyndigheten om kvarvarande hög risk inte kan reduceras till en acceptabel nivå.
Proffstips: Involvera dataskyddsombudet redan i screeningsteget, inte först när DPIA-rapporten ska skrivas. Efterhandskonstruerade bedömningar brister nästan alltid i analysen av kvarvarande risk, just den del tillsynsmyndigheten granskar hårdast. Den som vill se en fullständig arbetsgång i detalj kan läsa hur en konsekvensbedömning genomförs steg för steg.
Roller och ansvar: vem gör vad i en DPIA?
Dataskyddsombudet har en rådgivande och granskande roll genom hela processen: DPO:n ska tillfrågas om råd vid screening, ge synpunkter på metodval och bedöma om riskreducerande åtgärder är tillräckliga. Den personuppgiftsansvarige äger dock alltid själva beslutet, inklusive ansvaret att dokumentera varför en DPIA genomförs eller inte, och att följa upp att beslutade åtgärder faktiskt implementeras.
- Screeningresultatet, med motivering till beslutet.
- Den fullständiga DPIA-rapporten med riskbedömning och åtgärdsförslag.
- En åtgärdsplan med ansvarig person och tidplan för varje punkt.
- Eventuellt beslut om samråd med tillsynsmyndigheten och dess utfall.
Den som vill fördjupa sig i ansvarsfördelningen kan läsa om situationer där ett dataskyddsombud gör verklig skillnad.
Praktisk checklista och stöd i vardagen
En strukturerad plattform gör screeningen repeterbar istället för att bero på en enskild jurists minne. Automatiserade register över behandlingsaktiviteter, färdiga DPIA-mallar och inbyggd åtgärdsspårning gör det möjligt att koppla varje beslut till bevis som håller vid en granskning.
- Screena varje ny behandling mot triggerlistan innan projektet startar.
- Dokumentera beslutet, oavsett utfall, med DPO:ns synpunkter bifogade.
- Koppla identifierade risker till konkreta åtgärder med ägare och deadline.
- Följ upp åtgärderna löpande, inte bara vid ett engångstillfälle.
| Steg | Vad det säkerställer |
|---|---|
| Tidig screening | Beslut fattas innan behandlingen startar |
| Dokumenterat resonemang | Spårbarhet vid tillsyn |
| Åtgärdsplan med ägare | Riskreducering blir verklighet, inte bara papper |
| Löpande uppföljning | DPIA hålls levande genom behandlingens livscykel |
Min syn på DPIA-plikten
Det vanligaste misstaget jag ser är inte att organisationer struntar i DPIA. Det är att de behandlar den som en juridisk formalitet som ska fyllas i efter att systemet redan är byggt. Då blir riskbedömningen kosmetisk: den bekräftar ett beslut som redan är fattat istället för att styra det.
Den konventionella rådgivningen fokuserar ofta på att räkna upp triggerkriterier, som om DPIA-plikten var en checklista att bocka av. I praktiken är det svårare och enklare på samma tid. Svårare, eftersom gränsdragningen kring “hög risk” kräver ett verkligt resonemang, inte bara en genomgång av artikel 35.3. Enklare, eftersom tvåkriterieregeln oftast räcker för att sortera ut de tydliga fallen snabbt, vilket frigör tid till de gränsfall som faktiskt kräver eftertanke.
Det jag prioriterar högst är tidpunkten. En DPIA som skrivs efter lansering skyddar ingen, den dokumenterar bara en risk som redan realiserats. Bygg in screeningen i projektplaneringen från dag ett, och involvera DPO:n innan arkitekturen är låst. Allt annat är efterkonstruktion.
— Jesper
Källor
- När måste en konsekvensbedömning avseende dataskydd göras? | Europeiska kommissionen (sv)
- Dataskyddsförordningen (GDPR) – EUR-Lex (artikel 35 i förordningen)
Spara screeningresultatet och DPO:ns synpunkter, det är de dokument tillsynsmyndigheten frågar efter först.
