DPIA är förkortning för Data Protection Impact Assessment, en konsekvensbedömning av dataskyddsrisker vid vissa personuppgiftsbehandlingar.
DPIA är en del av dataskyddsreglerna och blir relevant när ett företag behandlar uppgifter som kan kopplas till en fysisk person. GDPR bygger bland annat på att behandlingen ska ha ett tydligt ändamål, en rättslig grund och inte omfatta fler uppgifter än vad som behövs.
Ett vanligt exempel är ett företag som hanterar kundregister, personaluppgifter eller uppgifter i ett digitalt system. Om dpia är aktuellt behöver företaget kunna förklara varför uppgifterna behandlas, hur länge de sparas och vilka som får tillgång till dem.
Företaget behöver kunna visa att dataskyddsreglerna följs, inte bara anta att behandlingen är tillåten. Tydliga register, interna rutiner och avtal med leverantörer kan därför vara viktiga. Om behandlingen förändras behöver även den tidigare bedömningen kunna omprövas.
Företaget bör också kontrollera att tekniska system och praktiska rutiner faktiskt motsvarar den juridiska bedömningen. En korrekt policy hjälper inte om uppgifter i verkligheten sparas längre eller delas bredare än vad som är tänkt.
Praktisk tillämpning
En DPIA, konsekvensbedömning avseende dataskydd, behövs när en planerad personuppgiftsbehandling sannolikt medför hög risk för individers rättigheter. Verksamheten ska beskriva syfte, uppgifter, registrerade, system, mottagare och lagringstid. Därefter bedöms nödvändighet, proportionalitet, hot, sannolikhet och konsekvens. Planerade skyddsåtgärder ska kopplas till identifierade risker och ansvariga. Bedömningen görs före behandlingen och uppdateras när teknik, omfattning eller risk förändras. Dataskyddsombud bör rådfrågas där sådant finns. Om hög risk kvarstår trots åtgärder kan förhandssamråd med Integritetsskyddsmyndigheten krävas. Dokumentationen ska vara begriplig och användbar i beslut och uppföljning. Bedömningen bör följas upp regelbundet. Viktiga antaganden, beslut och ändrade förutsättningar ska dokumenteras så att en annan person kan förstå underlaget. Det ger bättre jämförelser över tid och gör det lättare att upptäcka fel innan de får ekonomiska, rättsliga eller praktiska konsekvenser. Kontrollpunkter, ansvariga och datum bör anges i en enkel rutin som hålls aktuell. Rutinen ska även beskriva hur avvikelser rapporteras, rättas och kontrolleras på nytt efter åtgärd.
