En DPIA ska göras när en typ av behandling sannolikt leder till hög risk för fysiska personers rättigheter och friheter enligt artikel 35 i GDPR. Vanliga triggers är systematisk profilering med betydande effekter, storskalig behandling av känsliga uppgifter, systematisk övervakning av allmänna platser och ny teknik som AI. Är du osäker, gör en snabb riskscreening. Vid tvivel ska du genomföra en fullständig DPIA och dokumentera hela beslutsprocessen.
Kort sagt:
- Om behandlingen involverar systematisk profilering med betydande effekter eller hantering av känsliga uppgifter i stor skala krävs oftast en DPIA.
- DPIA:n ska nästan alltid göras innan behandlingen påbörjas och uppdateras kontinuerligt när behandlingen förändras väsentligt.
- En snabb riskscreening med sju frågor kan visa om en fullständig DPIA är motiverad, särskilt vid AI, biometriska data eller storskalig övervakning.
- Det är viktigt att dokumentera avslag på DPIA-kravet tydligt och regelbundet om förutsättningarna ändras, för att underlätta tillsyn och ansvar.
- Samråd med tillsynsmyndigheten krävs vid kvarstående hög risk, och bör genomföras i god tid före driftsättning för att undvika fördröjningar eller sanktioner.
Innehållsförteckning
- Vad säger artikel 35 och hur tolkar man ”sannolikt leda till hög risk”?
- Konkreta situationer som vanligtvis kräver DPIA
- Praktisk riskscreening: snabbchecklista för att avgöra om DPIA behövs
- Vad organisationen ska dokumentera om ni bedömer att en DPIA inte krävs
- När och hur man samråder med tillsynsmyndigheten
- Vanliga exempel och tolkningar som hjälper vid beslutsfattande
- Varför DPIA är mer än en regelcheck
- Så förenklar Trustview arbetet med DPIA och dokumentation
- Källor
Vad säger artikel 35 och hur tolkar man ”sannolikt leda till hög risk”?
Artikel 35 i GDPR slår fast att en personuppgiftsansvarig måste genomföra en konsekvensbedömning innan en behandling som sannolikt medför hög risk för fysiska personers rättigheter och friheter påbörjas. Bestämmelsen pekar särskilt ut tre situationer: systematisk och omfattande profilering med rättsverkningar, storskalig behandling av särskilda kategorier av personuppgifter, och systematisk övervakning av allmänna platser i stor omfattning, enligt EU-kommissionens vägledning om DPIA. Men lagtexten stannar inte där. Den bygger på en bredare bedömning av fyra variabler som du måste väga mot varandra i varje enskilt fall.
Art handlar om vilken typ av uppgifter som behandlas. Hälsodata, biometri, uppgifter om sexuell läggning eller politisk åskådning väger tyngre än ett kundregister med namn och e-post. Omfattning avser volym: antal registrerade, mängden data per person, den geografiska spridningen och behandlingens varaktighet. Sammanhang rör maktbalansen mellan dig och den registrerade, om personen förväntar sig behandlingen, och om nya tekniska eller organisatoriska lösningar används. Syfte handlar om vad resultatet av behandlingen används till, till exempel om det påverkar en persons möjlighet att få ett jobb, ett lån eller en försäkring.
Ordet ”sannolikt” i artikel 35 betyder att du inte behöver bevisa att skada faktiskt kommer att uppstå. Det räcker att risken är rimligt förutsebar utifrån behandlingens karaktär. EDPB (tidigare arbetsgrupp 29) har förtydligat att bedömningen ska göras objektivt, inte utifrån din egen organisations riskaptit. En praktisk tumregel som EDPB rekommenderar är att en behandling som uppfyller två eller fler av deras nio kriterier normalt kräver en DPIA. Den regeln återkommer i nästan alla nationella vägledningar, inklusive IMY:s beskrivning av konsekvensbedömningar och ICO:s riktlinjer om när en DPIA krävs.
Proffstips: Använd inte artikel 35 som en checklista du bockar av en gång. Betrakta den som en levande måttstock. Så fort behandlingens syfte, omfattning eller tekniska lösning förändras, ska du pröva om slutsatsen fortfarande håller.
Timing är avgörande och ofta förbisedd. DPIA:n ska genomföras innan behandlingen påbörjas, inte som en efterhandskonstruktion när en tillsynsmyndighet redan ställt frågor. EDPB:s vägledning betonar att bedömningen dessutom är ett levande dokument som ska uppdateras när behandlingen förändras väsentligt, till exempel vid ny teknik, nya datakällor eller ändrat syfte. En DPIA som skrevs för tre år sedan och aldrig setts över är i praktiken värdelös om verksamheten har vuxit eller förändrats sedan då.
Det är också värt att komma ihåg vad en DPIA inte gör. Den ersätter aldrig prövningen av om behandlingen har en giltig rättslig grund. IMY påpekar att en konsekvensbedömning är ett verktyg för ansvarsskyldighet, inte ett sätt att i efterhand legitimera en behandling som saknar rättslig grund från början.
Konkreta situationer som vanligtvis kräver DPIA
Fyra kategorier återkommer i praktiskt taget alla svenska och europeiska bedömningar, och de förtjänar var sin genomgång.
Profilering med rättsverkningar eller motsvarande betydande effekt. Om du använder automatiserad bearbetning för att bedöma, klassificera eller poängsätta individer, och resultatet påverkar deras rättigheter, möjligheter eller ekonomiska situation, hamnar du nästan alltid inom DPIA-kravet. Kreditbedömningar, automatiserade anställningsbeslut och riskklassning av kunder inom finansiella tjänster är klassiska exempel. Effekten behöver inte vara juridiskt bindande för att räknas. Det räcker att den påverkar personen på ett sätt som är jämförbart med en rättsverkning, till exempel att ett automatiserat beslut avgör om en ansökan går vidare till manuell handläggning eller avslås direkt.
Storskalig behandling av särskilda kategorier av uppgifter. Hälsodata, biometriska uppgifter för identifiering, uppgifter om etniskt ursprung eller sexuell läggning, och uppgifter om lagöverträdelser hamnar i en särskild skyddskategori enligt artikel 9 och 10 i GDPR. Så fort behandlingen sker i stor skala, till exempel en vårdgivare som samlar patientdata från flera regioner eller ett HR-system som lagrar hälsouppgifter för tiotusentals anställda i en koncern, aktiveras kravet. Skalan är avgörande här. En liten vårdcentral med några hundra patienter hamnar ofta under tröskeln, medan en nationell journaldatabas alltid ligger över den.
Systematisk övervakning av allmänna platser i stor omfattning. Kamerabevakning av en enskild parkeringsplats skiljer sig juridiskt från ett kommunalt system som täcker en hel stadskärna med ansiktsigenkänning eller rörelseanalys. Det som avgör är kombinationen av systematik, geografisk räckvidd och hur många människor som exponeras utan att aktivt ha valt att delta. EU-kommissionens vägledning lyfter just den typen av storskalig offentlig övervakning som ett av de tre uttryckliga exemplen i lagtexten.
Ny teknik och innovativa processer med hög integritetspåverkan. AI-baserade beslutsstöd, biometrisk identifiering och sammanslagning av data från flera olika källor faller ofta in här, även när ingen av de andra tre kategorierna är uppfylld i sig. Anledningen är att ny teknik ofta gör det svårt för både den registrerade och verksamheten själv att fullt ut överblicka konsekvenserna. En AI-modell som tränas på kundbeteende för att förutsäga uppsägningsrisk är ett bra exempel: tekniken är ny, effekterna är svåra att förutse fullt ut, och resultatet kan påverka hur kunden behandlas i framtiden.
Flera nationella tillsynsmyndigheter, inklusive IMY och motsvarigheter i andra EU-länder, publicerar egna listor med behandlingar som enligt deras bedömning alltid kräver DPIA inom respektive jurisdiktion. Dessa listor är inte uttömmande men fungerar som ett bra stöd när du är osäker på ett gränsfall.
Praktisk riskscreening: snabbchecklista för att avgöra om DPIA behövs
Innan du sätter igång en fullskalig DPIA, som kan ta veckor att genomföra ordentligt, är det klokt att göra en snabb screening. Screeningen ska besvara en enda fråga: uppfyller behandlingen tillräckligt många riskindikatorer för att motivera en fullständig bedömning?
Den vanligaste metoden bygger på EDPB:s två-eller-fler-kriterie-regel. Uppfyller behandlingen två eller fler av nedanstående kriterier, ska du gå vidare med en fullständig DPIA. Uppfyller den bara ett kriterium, kan det fortfarande vara motiverat beroende på hur allvarlig risken är, men i regel räcker en dokumenterad snabbedömning.
Gå igenom följande sju frågor för varje ny eller väsentligt förändrad behandling:
- Syfte: Används behandlingen för att fatta beslut som påverkar individens rättigheter, ekonomi eller möjligheter (till exempel anställning, kredit eller försäkring)?
- Skala: Omfattar behandlingen ett stort antal registrerade, en stor geografisk spridning, eller pågår den under lång tid?
- Känsliga uppgifter: Behandlas särskilda kategorier av personuppgifter enligt artikel 9, eller uppgifter om lagöverträdelser enligt artikel 10?
- Automatiserat beslutsfattande: Sker profilering eller automatiserad bearbetning som kan leda till uteslutning, diskriminering eller andra betydande effekter?
- Sårbara grupper: Berör behandlingen barn, patienter, asylsökande, anställda i beroendeställning eller andra grupper med begränsad möjlighet att invända?
- Teknisk komplexitet: Används ny teknik, AI, biometri eller sammanslagning av data från flera källor på ett sätt som gör konsekvenserna svåra att överblicka?
- Offentlig exponering: Sker behandlingen på eller mot allmänna platser, digitala såväl som fysiska, där individer inte aktivt kan välja bort exponeringen?
Ju fler frågor du svarar ja på, desto starkare skäl att gå vidare med en fullständig DPIA. Typiska exempel där svaret snabbt blir ja på flera punkter:
- En bank som inför en AI-modell för att automatiskt godkänna eller avslå bolånsansökningar.
- En kommun som utökar kamerabevakningen i kollektivtrafiken med funktioner för beteendeanalys.
- En vårdgivare som delar patientdata med en extern forskningsdatabas utan avidentifiering.
- Ett HR-system som använder algoritmer för att rangordna kandidater baserat på ansökningshandlingar och sociala medieprofiler.
Motsatt gäller: en lokal frisörsalong som för ett kundregister med namn, telefonnummer och bokade tider uppfyller normalt inget av kriterierna ovan, och behöver ingen DPIA. Det som skiljer de två situationerna åt är sällan en enskild faktor utan kombinationen av skala, känslighet och konsekvens.
Om du redan arbetar med en intresseavvägning enligt GDPR för att pröva proportionaliteten i en behandling, är det naturligt att köra screeningen parallellt. De två bedömningarna delar mycket av samma underlag.
Proffstips: Spara screeningen som ett eget dokument, även när slutsatsen blir att DPIA inte behövs. Ett tillsynsbesök flera år senare blir avsevärt enklare att hantera om du kan visa exakt vilka kriterier du prövade och varför du landade där du gjorde.
Vad organisationen ska dokumentera om ni bedömer att en DPIA inte krävs
Att besluta att en DPIA inte behövs är inte samma sak som att inte göra något. Beslutet i sig måste dokumenteras lika noggrant som en fullständig bedömning, eftersom bevisbördan enligt ansvarsskyldighetsprincipen ligger på dig som personuppgiftsansvarig.
En godtagbar dokumentation bör innehålla:
- En kort beskrivning av behandlingen: syfte, kategorier av uppgifter, mottagare och lagringstid.
- Vilka riskkriterier ni prövade, och resultatet för varje kriterium.
- Den konkreta motiveringen för att risken inte bedöms som hög, till exempel begränsad skala eller avsaknad av känsliga uppgifter.
- Namn eller roll på den som gjort bedömningen, samt datum.
- En hänvisning till eventuellt tidigare beslut om samma eller liknande behandling, om ett sådant finns.
Denna dokumentation kopplas naturligt till organisationens register över behandlingar (ofta kallat ROPA). Många väljer att lägga screeningresultatet som en bilaga eller ett fält direkt i registret, så att beslutet är sökbart tillsammans med övrig information om behandlingen. Det gör granskningar snabbare, både interna och externa.
En kort loggpost som håller för en tillsynsgranskning kan se ut ungefär så här: ”Behandling: kundtjänstsystem för bokningshantering. Mindre antal registrerade, ingen känslig data, inget automatiserat beslutsfattande. Prövade kriterier: skala (låg), känslighet (ingen), automatisering (ingen). Slutsats: DPIA krävs inte. Beslut fattat av dataskyddsombud, 14 mars 2026.” Enkelt, spårbart och tillräckligt.
Proffstips: Sätt ett återkommande datum, till exempel var tolfte månad, för att gå igenom tidigare screeningbeslut. Förändras syftet, volymen eller tekniken bakom en behandling, ska beslutet omprövas, inte bara arkiveras.
Glöm inte att förändrade förutsättningar kräver omprövning även mellan de fasta granskningstillfällena. Om ni till exempel byter leverantör för samma system, lägger till en AI-funktion, eller expanderar en tjänst till fler länder, ska frågan om DPIA ställas på nytt direkt, inte vid nästa schemalagda genomgång.
När och hur man samråder med tillsynsmyndigheten
Artikel 36 i GDPR kräver att du samråder med tillsynsmyndigheten innan behandlingen påbörjas, om DPIA:n visar att behandlingen medför en hög risk som du inte kan reducera till en godtagbar nivå med rimliga åtgärder. Det är alltså inte samrådet i sig som är regeln, utan den kvarstående risken efter att alla tänkbara skyddsåtgärder redan är inräknade.
Vid ett förhandssamråd förväntas myndigheten, i Sverige IMY, få tillgång till:
- En sammanfattning av DPIA:n, inklusive syfte och omfattning av behandlingen.
- En beskrivning av de kvarstående riskerna som inte kunnat elimineras.
- De skyddsåtgärder ni redan vidtagit eller planerar att vidta.
- Kontaktuppgifter till dataskyddsombudet och den personuppgiftsansvariga.
Praktiskt bör samrådet initieras i god tid innan driftstart, eftersom myndigheten har lagstadgad tid att svara och kan begära kompletterande information. Vänta inte till sista veckan före lansering. Ta kontakt med IMY via deras officiella kanaler och var beredd att komplettera underlaget om myndigheten efterfrågar mer detaljer om tekniska lösningar eller riskreducerande åtgärder.
Att undvika samråd trots en kvarstående hög risk är en av de tydligaste vägarna till sanktioner. Det riskerar också att försena eller helt stoppa lanseringen av en tjänst, eftersom myndigheten i värsta fall kan förbjuda behandlingen i efterhand. Ett tidigt samråd är alltid billigare än ett sent ingripande.
Vanliga exempel och tolkningar som hjälper vid beslutsfattande
Gränsdragningar blir tydligare med konkreta jämförelser. Här är fyra situationer som ofta skapar osäkerhet.
En enskild läkarmottagning som journalför ett par hundra patienter faller normalt utanför DPIA-kravet, eftersom skalan är begränsad och behandlingen sker inom en etablerad vårdrelation som patienten förväntar sig. En nationell forskningsdatabas som samlar hälsodata från flera regioner för sekundär forskningsanvändning hamnar däremot nästan alltid inom kravet, eftersom både skala och känslighet är betydligt högre och de registrerade sällan har direkt insyn i hur data används vidare.
En AI-driven kreditbedömning som automatiskt avgör om en kund beviljas lån är ett tydligt exempel på profilering med rättsverkan, och kräver i praktiken alltid en DPIA. Samma logik gäller kundscoring som styr vilket pris eller vilken service en kund erbjuds, även om beslutet formellt fattas av en handläggare, så länge algoritmens rekommendation i praktiken avgör utfallet.
Kamerabevakning illustrerar hur mycket skala spelar in. En enskild butik med en kamera vid kassan för att förhindra stöld ligger vanligen under tröskeln. En kommun som inför kamerabevakning med ansiktsigenkänning över ett helt torg eller en hel stadsdel hamnar direkt inom det uttryckliga exemplet om systematisk övervakning av allmänna platser i GDPR.
De vanligaste misstagen vid bedömningen är annars ganska förutsägbara:
- Att bara titta på antalet registrerade och glömma känsligheten i uppgifterna.
- Att anta att ett litet pilotprojekt är undantaget, trots att det testar teknik som senare ska skalas upp kraftigt.
- Att inte uppdatera en gammal DPIA när syftet med behandlingen förändras.
- Att förväxla en intresseavvägning med en DPIA, trots att de svarar på olika juridiska frågor.
- Att skjuta bedömningen till efter lansering, i strid med kravet på att göra den i förväg.
Ett bra externt perspektiv på varför detta är särskilt aktuellt för mindre och medelstora verksamheter finns i Symmnets genomgång av dataskyddsstrategier, som pekar på hur privacy by design och tidiga riskbedömningar ofta underskattas i mindre organisationer med begränsade juridiska resurser.
Varför DPIA är mer än en regelcheck
Jag har läst och analyserat ett stort antal konsekvensbedömningar som organisationer skrivit enbart för att kunna bocka av ett krav, och mönstret är tydligt: en DPIA som skrivs för formens skull läcker igenom sina egna svagheter så fort en tillsynsmyndighet ställer en enda uppföljande fråga. Den vanligaste bristen är inte juridisk okunskap, utan att bedömningen görs isolerat från den faktiska verksamheten, av någon som inte förstår hur systemet faktiskt används i vardagen.
Den bästa DPIA jag sett är sällan den mest juridiskt sofistikerade. Det är den som är skriven av någon som satt bredvid utvecklarna när funktionen byggdes, och som ställde besvärliga frågor innan koden var klar. Det är precis den tanken som ligger bakom att bygga DPIA-arbetet som en process i vardagen snarare än ett dokument som dammar ner i en mapp. En plattform som Trustview gör det lättare att hålla den processen levande genom mallar och spårbara arbetsflöden, men verktyget löser aldrig bristen på tidig involvering av rätt kompetens.
Min rekommendation till dataskyddsombud är enkel men obekväm för många organisationer: gör riskscreeningen till en obligatorisk punkt redan i produktutvecklingens designfas, inte som en sista kontrollstation före lansering. Det är då besluten faktiskt går att påverka.
— Jesper
Så förenklar Trustview arbetet med DPIA och dokumentation
Trustview är byggt för att göra DPIA-arbetet till en löpande process snarare än ett engångsprojekt som glöms bort tills nästa tillsynsgranskning. Plattformen samlar riskscreening, fullständig konsekvensbedömning och register över behandlingar på samma plats, vilket gör det enklare att se kopplingen mellan varje behandling och de beslut som fattats om den.
Genom färdiga mallar och strukturerade arbetsflöden kan du dokumentera både beslutet att göra en DPIA och beslutet att avstå, med spårbar historik som håller vid en extern granskning. Det minskar den administrativa bördan avsevärt jämfört med lösa dokument i delade mappar, och ger dataskyddsombudet en samlad översikt över status på varje pågående bedömning. Vill du se hur en fullständig konsekvensbedömning byggs upp steg för steg, inklusive struktur för kvarstående risk och samråd med tillsynsmyndighet, är Trustviews kompletta guide om konsekvensbedömning enligt GDPR rätt startpunkt för att komma igång direkt.
Källor
Artikelns slutsatser bygger på EU-kommissionens officiella vägledning om DPIA, EDPB:s riktlinjer om konsekvensbedömningar och IMY:s vägledning om konsekvensbedömning enligt GDPR. För jämförelse med brittisk tolkning, se ICO:s riktlinjer om när en DPIA krävs. Vill du gå vidare praktiskt, ge Trustviews snabbguide om när DPIA krävs en titt.
