Datatilsynet offentliggjorde den 22. maj 2024 to skabeloner til konsekvensanalyser, en generisk og en til AI-løsninger, begge i Excel. Den generiske skabelon, som er åbnet til denne artikel den 5. november 2026, har en introduktion og seks arbejdsfaner: resume og scope, beskrivelse af aktiviteten, vurdering af lovlighed, evalueringskriterier, risici og interessentinddragelse. Brugen er frivillig, og I kan bruge jeres egen form, så længe mindsteindholdet i art. 35, stk. 7, er med. Det er beskrivelsen, vurderingen af nødvendighed og proportionalitet, risiciene og foranstaltningerne. Her er arbejdsgangen, fane for fane.
Analysen laves af virksomheden. DPO’en rådgiver undervejs og tager stilling til, om den er korrekt gennemført. Er I i tvivl om, hvorvidt der skal laves en, så begynd med skal vi lave en DPIA.
Før I åbner arket
Find en ejer i forretningen, og få IT og leverandøren med fra begyndelsen. Analysen skal laves, mens valgene stadig kan ændres, og den skal bygge på den behandling, I faktisk planlægger. Skabelonens faneblad om resume og scope kan med fordel udfyldes til sidst, bortset fra afgrænsningen. Datatilsynet peger på, at I ved en behandling på eksisterende teknisk infrastruktur kan henvise til eksisterende risikovurderinger, så analysen kun omfatter den nye aktivitet.
Fanen om aktiviteten
Her beskrives formålet og baggrunden for at lave analysen, datastrømmene, kategorierne af personer, delingen af data, konteksten og den tekniske understøttelse. Skabelonen spørger blandt andet, hvor data kommer fra, hvor længe de opbevares, og hvordan de deles ned gennem leverandørkæden. Den spørger også til forholdet til personerne, og hvad de med rimelighed kan forvente.
Datastrømmene er det sted, hvor mange analyser bliver for overfladiske. En sætning som “data ligger i systemet” svarer ikke på spørgsmålet. Tegn strømmen fra indsamling til sletning, og få leverandøren til at bekræfte den. Metadata, logs og supportadgange hører med.
Fanen om lovlighed
Fanen har 19 punkter og er den længste. Den går gennem behandlingsgrundlaget for hvert formål, følsomme oplysninger, strafbare forhold, personnummer, principperne i art. 5, behandlingssikkerhed, brud, de registreredes rettigheder, databehandlere og tredjelandsoverførsler. Skabelonen foreslår, at sikkerhed, databehandlere og overførsler med fordel kan beskrives i bilag.
To ting forsinker typisk. Det ene er grundlaget, hvor et punkt skal besvares særskilt for hvert formål. Se behandlingsgrundlag. Det andet er proportionaliteten, altså om behandlingen er egnet, nødvendig og forholdsmæssig. Her er det værd at stille det ubehagelige spørgsmål, om formålet kan nås med færre oplysninger. Punkterne om rettigheder bør besvares konkret. Hvordan finder I en persons oplysninger i systemet, og hvordan sletter I dem?
Evalueringskriterier og risici
Fanen med evalueringskriterier har en skala for sandsynlighed og en for konsekvens, begge fra 1 til 4, og en risikomatrix. Sandsynlighed går fra usandsynligt til forventet. Konsekvens går fra ubetydelig til ødelæggende, og den beskriver, hvad de registrerede kan opleve. I kan tilpasse kriterierne, men de bør ligge fast, før I begynder at score.
Risikofanen er arbejdsarket. For hvert konkret scenarie angiver I sandsynlighed, de alvorligste konsekvenser for de registrerede, den iboende risiko, foranstaltningerne, den nye vurdering efter foranstaltningerne, restrisikoen, en risikoejer, status og en gennemførelsesdato.
Tre ting kan standse arbejdet her:
- Scenarierne bliver generelle. “Hacking” er et emne. “En uvedkommende logger ind med en stjålet adgangskode og ser ansattes sygefravær” er et scenarie, der kan vurderes.
- Foranstaltningerne findes kun på papiret. Står der, at adgange er begrænsede, skal det kunne vises. Ellers bør sandsynligheden ikke sættes ned.
- Ingen ejer foranstaltningen. Felterne for risikoejer og dato er dem, der gør arket til en plan.
Interessentinddragelse og godkendelse
Den sidste fane samler synspunkterne fra DPO’en (art. 35, stk. 2) og fra personerne eller deres repræsentanter (stk. 9), en eventuel høring af Datatilsynet og ledelsens godkendelse. Fravælger I at indhente de registreredes synspunkter, bør begrundelsen dokumenteres. Hos en virksomhed kan det relevante være medarbejderrepræsentanter.
DPO’ens rådgivning og de beslutninger, der træffes, skal fremgå. Følger ledelsen ikke rådet, skal begrundelsen også stå dér. Viser analysen høj risiko trods foranstaltningerne, skal Datatilsynet høres inden opstart, som beskrevet under forudgående høring.
Hvornår analysen skal opdateres
Fanen slutter med feltet om, hvem der løbende ajourfører analysen. Art. 35, stk. 11, kræver en fornyet gennemgang, hvis det er nødvendigt, i hvert fald når risikoen ændrer sig. WP248 kalder analysen en løbende proces, og at den skal ajourføres efter opstart, er ingen grund til at udskyde den.
Gode anledninger er en ny leverandør eller underleverandør, nye datatyper, et nyt formål, en ny funktion, der er slået til hos leverandøren, og et brud eller en næsten-hændelse i behandlingen.
Det skal I lade være med
- At lade DPO’en skrive analysen · DPO’en skal kunne vurdere den bagefter, så arbejdet hører hjemme i forretningen.
- At sætte sandsynligheden ned på tomme løfter · foranstaltningen skal findes, eller stå med ejer og dato.
- At gemme arket, når projektet er slut · ved en ændring i behandlingen skal analysen tages frem igen.
Det skal I kræve af den eksterne
- ☐ Rådgivning om fremgangsmåde og afgrænsning, før arbejdet starter.
- ☐ En kritisk gennemlæsning af datastrømme og scenarier med IT-øjne.
- ☐ Skriftlige synspunkter, der kan sættes ind i analysen.
- ☐ Opfølgning på, at foranstaltningerne er gennemført til de aftalte datoer.
- ☐ Klar besked, hvis restrisikoen peger på høring af Datatilsynet.
Kilder
- Datatilsynet: Nye skabeloner til gennemførelse af konsekvensanalyser, 22. maj 2024. Den generiske skabelon er åbnet 5. november 2026.
- WP248, retningslinjer om konsekvensanalyse: løbende proces og dokumentation af rådgivningen.
- Datatilsynet: Databeskyttelsesrådgivere: DPO’ens rådgivning om analysen.
- Databeskyttelsesforordningen: art. 35, stk. 2, 7, 9 og 11.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Risikovurdering for de registrerede · Konsekvensanalyse af Microsoft 365
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
