En DPIA, på dansk en konsekvensanalyse, er påkrævet, når en planlagt behandling af personoplysninger sandsynligvis vil indebære en høj risiko for personernes rettigheder og frihedsrettigheder. Afgørelsen træffes i tre skridt. Først ser I på forordningens tre opregnede tilfælde, derefter på Datatilsynets liste, og til sidst på de ni kriterier fra retningslinjerne WP248, hvor to opfyldte kriterier i de fleste tilfælde peger på en analyse. Svaret skal stå på skrift, også når det er et nej. Har I en DPO, skal I søge DPO’ens rådgivning.
Hvem der skriver hvad, står i konsekvensanalyse og DPO’en. Her handler det om afgørelsen.
Første skridt: forordningens tre tilfælde
Art. 35, stk. 1, stiller kravet og nævner især brug af nye teknologier. Stk. 3 opregner tre situationer, hvor analysen navnlig er påkrævet:
- en systematisk og omfattende vurdering af personlige forhold, der bygger på automatisk behandling og fører til afgørelser med retsvirkning eller tilsvarende betydelig påvirkning,
- stort omfang af oplysninger efter art. 9 og 10, altså følsomme data og straffedomme,
- systematisk overvågning, i stort omfang, af områder med offentlig adgang.
Listen er ikke udtømmende. Falder I uden for den, er I altså ikke færdige.
Andet skridt: Datatilsynets liste
Efter art. 35, stk. 4, har Datatilsynet offentliggjort en liste over behandlinger, der kræver en analyse. Listen er ikke udtømmende, og den supplerer WP248. Fire af punkterne gælder kun sammen med mindst ét yderligere kriterium fra WP248:
- biometriske data, der bruges til entydig identifikation,
- genetiske data,
- lokationsdata,
- nye teknologier.
Fire punkter gælder selvstændigt. Det er automatiserede afgørelser om en persons adgang til et produkt, en service, en mulighed eller en fordel, profilering i stor skala, profilering eller automatiserede afgørelser om sårbare personer eller med følsomme oplysninger, og behandlinger, hvor et brud kan få direkte effekt på en persons fysiske helbred eller sikkerhed. Læs den fulde ordlyd, før I konkluderer. Listen står i kildeafsnittet.
Tredje skridt: de ni kriterier
Falder behandlingen uden for listen, bruger I WP248. Kriterierne er, kort gengivet:
- Evaluering eller analyse, herunder profilering og forudsigelse.
- Automatiseret beslutningstagning med juridisk eller tilsvarende betydelig virkning.
- Systematisk overvågning.
- Følsomme oplysninger eller oplysninger af meget personlig karakter.
- Omfattende behandling, hvor antal personer, datamængde, varighed og geografisk udstrækning indgår.
- Matching eller kombination af datasæt ud over personernes rimelige forventninger.
- Oplysninger om sårbare personer. WP248 regner blandt andet ansatte med, fordi magtforholdet til arbejdsgiveren er skævt.
- Innovativ brug eller ny teknologi.
- Behandling, der i sig selv hindrer personer i at udøve en rettighed eller bruge en tjeneste eller kontrakt.
I de fleste tilfælde kan to opfyldte kriterier tages som tegn på, at behandlingen skal analyseres, og i nogle tilfælde kan ét være nok. Tallet er en tommelfingerregel. Der findes ingen grænse i antal personer, og den skal I heller ikke opfinde.
Tre tænkte eksempler
GPS i firmabiler. En virksomhed vil følge bilerne løbende og bruge data til at vurdere de enkelte chauffører. Det er lokationsdata, systematisk overvågning og evaluering af ansatte. Her peger både listen og kriterierne på en analyse.
Nyt lønsystem. Et mindre firma skifter lønsystem og behandler de samme oplysninger til samme formål som før. Der er følsomme elementer og ansatte, så spørgsmålet skal vurderes. Der kommer ingen ny analyse af personerne, ingen overvågning og ingen ny teknologi. Her kan svaret meget vel blive nej med en skriftlig begrundelse. Risikovurderingen og leverandørens vilkår skal stadig på plads.
Rekruttering med automatisk sortering. Et værktøj rangerer ansøgere og sorterer nogle fra, før et menneske ser dem. Det er evaluering, og det kan være automatiserede afgørelser om adgangen til en mulighed. Her skal I regne med en analyse. AI er behandlet særskilt i DPIA for AI-værktøjer.
Når svaret er nej
WP248 siger, at den dataansvarlige bør begrunde og dokumentere, hvorfor der ikke laves en analyse, når en behandling ligner et tilfælde, der kræver en, og at DPO’ens synspunkter skal med. Et kort notat er nok. Det bør sige, hvilken behandling der er vurderet, hvilke punkter og kriterier I har set på, hvorfor risikoen ikke er høj, hvad DPO’en har sagt, og hvem der har besluttet det. Notatet tages frem igen, når behandlingen ændrer sig.
Efter art. 35, stk. 2, søger I DPO’ens rådgivning, når analysen foretages, og efter art. 39, stk. 1, litra c, rådgiver DPO’en og overvåger opfyldelsen. Datatilsynets FAQ nævner også rådgivning om, hvorvidt analysen skal laves. Spørgsmålet hører derfor hjemme hos DPO’en, tidligt i projektet, mens afgørelsen er virksomhedens. Bliver svaret ja, og viser analysen en høj risiko, I ikke kan få ned, er næste skridt en høring af Datatilsynet.
Digital Omnibus foreslår, at EDPB på ni måneder udarbejder lister til hele EU, og at de nationale lister står ved magt, til de foreligger. Det er et forslag pr. 5. november 2026. Art. 35 og Datatilsynets liste gælder uændret.
Det skal I lade være med
- At tælle kriterier og stoppe dér · to kriterier er et signal, og afgørelsen er en vurdering.
- At svare mundtligt · et nej uden notat kan ikke vises frem bagefter.
- At vente, til aftalen er underskrevet · så er de vigtigste valg allerede truffet.
Det skal I kræve af den eksterne
- ☐ Et skriftligt svar på, om analysen er påkrævet.
- ☐ Henvisning til det punkt på listen eller det kriterium, vurderingen bygger på.
- ☐ En skabelon til et kort notat, når svaret er nej.
- ☐ Fast plads i jeres indkøb og projekter, så spørgsmålet stilles tidligt.
Kilder
- Datatilsynets liste over behandlinger, der altid kræver en konsekvensanalyse, læst 5. november 2026.
- WP248, retningslinjer om konsekvensanalyse, læst 5. november 2026: de ni kriterier og dokumentation af et nej.
- Datatilsynet: Databeskyttelsesrådgivere: DPO’ens rådgivning.
- Databeskyttelsesforordningen: art. 35 og art. 39, stk. 1, litra c.
- Rådets mandat om Digital Omnibus, ST 14756/26: forslaget om art. 35.
Senest gennemgået: november 2026.
Næste skridt
Læs også: DPIA før kontrakten · Hvornår skal DPO’en inddrages?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
