Konsekvensanalyser

En konsekvensanalyse, på engelsk DPIA, er den øvelse, hvor I før en ny behandling vurderer, hvad den kan betyde for de mennesker, oplysningerne handler om. Art. 35 kræver den, når en behandling sandsynligvis indebærer en høj risiko for dem. Den hører hjemme i den fase, hvor valgene kan laves om, og det er også dér, den giver mest værdi. Siden her samler artiklerne om, hvornår den skal laves, hvordan den laves, og hvad der sker, hvis risikoen bliver stående.

Det, en analyse skal indeholde

Art. 35, stk. 7, sætter mindsteindholdet, og det kan siges på fire linjer. I beskriver behandlingen og formålet. I vurderer, om den er nødvendig og står mål med formålet. I vurderer risikoen for personerne. Og I fastlægger de foranstaltninger, der skal håndtere risikoen. Datatilsynet har siden 22. maj 2024 haft to skabeloner, en generisk og en til AI, som kan bruges som ramme.

Skal analysen laves?

• Skal vi lave en DPIA? Datatilsynets liste og kriterierne Art. 35, listen og kriterierne fra WP248, og hvordan et begrundet nej skrives ned.

Datatilsynets liste over behandlinger, der altid kræver en analyse, supplerer vurderingen og er ikke udtømmende. WP248 sætter tommelfingerreglen ved to opfyldte kriterier, og så bør I som regel overveje en analyse. Rådets mandat til Digital Omnibus foreslår fælles lister fra EDPB. Forslaget er ikke vedtaget, og de nationale lister gælder.

Sådan laves den

• DPIA trin for trin med Datatilsynets skabelon Fanerne i arket, de steder arbejdet ofte går i stå, og hvornår analysen skal opdateres.
• DPIA før kontrakten: sådan kommer den ind i indkøbet Et systemkøb har sin deadline ved underskriften, så analysen skal ind i processen før den.

Skal analysen dække et AI-værktøj, er fremgangsmåden en anden, og den står i DPIA for et AI-værktøj. En databehandler skal hjælpe jer efter art. 28, stk. 3, litra f, og det er rimeligt at bede om oplysningerne, før I skriver under.

Microsoft 365 og den store platform

• Konsekvensanalyse af Microsoft 365: hvad skal vurderes? Tjenester, indstillinger, leverandørens egne formål og tredjelande, med vilkår læst i november 2026.

Artiklerne om Microsoft 365 handler om netop den platform, fordi spørgsmålet stilles om den. Spørgsmålene gælder andre platforme på samme måde. Datatilsynets svar fra 2024 om en regions påtænkte brug handler om en offentlig myndighed, hvor hjemmelskravet er snævrere end hos private. Spørgsmålet om leverandørens egne formål er det samme for jer.

Når risikoen bliver stående

• Høj restrisiko: forudgående høring hos Datatilsynet Art. 36, valget mellem høring og at droppe behandlingen, og hvad det indebærer.

Viser analysen en høj risiko, som I ikke kan få ned med foranstaltninger, er næste skridt en høring hos Datatilsynet, før I begynder. Situationen er værd at kende, for en sådan analyse må ikke ende i en skuffe. Forarbejdet ligger i risikovurderingen for de registrerede.

Hvem gør hvad

Den dataansvarlige laver analysen og ejer den, og efter art. 35, stk. 2, søger virksomheden rådgivning hos DPO’en, hvis der er en. Datatilsynets FAQ nævner, hvad DPO’en kan rådgive om: om analysen skal laves, fremgangsmåden, om den skal laves internt eller eksternt, foranstaltningerne, og om den er korrekt gennemført. Art. 39, stk. 1, litra c, giver desuden DPO’en til opgave at overvåge opfyldelsen. En DPO, der selv skriver analysen, ender med at kontrollere sit eget arbejde. Rollefordelingen er uddybet på ekstern-it-ledelse.dk under konsekvensanalyse og DPO, og grænsen i hverdagen står i Hvornår skal DPO’en inddrages?. Hvad rådgivningen undervejs bør munde ud i, står under Det får I.

Det skal I lade være med

• At lave analysen efter købet · så kan den kun beskrive det, der allerede er valgt.
• At lade leverandørens materiale stå som jeres analyse · brug det som råstof, for konklusionen skal være jeres egen.
• At glemme analysen, når behandlingen ændrer sig · nye funktioner og formål kan give nye risici.

Det skal I kræve af den eksterne

• ☐ Et skriftligt råd om, hvorvidt analysen er påkrævet, med begrundelse.
• ☐ Rådgivning under arbejdet, mens ejerskabet bliver hos forretningen.
• ☐ En selvstændig vurdering af, om analysen er gennemført korrekt.
• ☐ Tekniske spørgsmål til leverandøren, som kan besvares med dokumentation.

Kilder

• Databeskyttelsesforordningen (EU) 2016/679: art. 28, 35, 36 og 39.
• Datatilsynet: Vejledning om konsekvensanalyse, marts 2018.
• WP248 på dansk.
• Datatilsynet: Nye skabeloner, 22. maj 2024.
• Datatilsynet: Region Syddanmarks påtænkte brug af Microsoft 365, 2024.
• Rådets mandat, ST 14756/26.

Senest gennemgået: november 2026.

Næste skridt

• Skal vi lave en DPIA?
• DPIA før kontrakten

Læs også: Risikovurdering for de registrerede · AI og persondata

→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT