Konsekvensbedömning – behov – ange tjänst, process eller system som ska implementeras

När krävs en konsekvensbedömning?

Vid bedömningen av om en konsekvensbedömning är obligatorisk ska den personuppgiftsansvarige utgå från:

de faktorer som anges i artikel 35.1 i dataskyddsförordningen

exemplen i artikel 35.3 i dataskyddsförordningen

IMY:s förteckning enligt artikel 35.4 i dataskyddsförordningen (som bygger på kriterierna i EDPB:s riktlinjer om konsekvensbedömning).

Kom ihåg!

Det är typen av behandling som är relevant när behovet av konsekvensbedömning ska bedömas. Åtgärder som ska reducera eller eliminera risker vid den enskilda planerade behandlingen kan därför inte beaktas vid denna bedömning.

Övergripande information

Ange den personuppgiftsansvarige för den planerade personuppgiftsbehandlingen och vilka roller som deltagit i bedömningen av behovet av att genomföra en konsekvensbedömning

Personuppgiftsansvarig	Ange personuppgiftsansvarig.
Personuppgiftsbiträde(n)	Ange ev. personuppgiftsbiträde
De roller som deltagit i bedömningen	Ange vilka roller som har deltagit i bedömningen.
Ansvarig för bedömningen av behovet av att genomföra en konsekvensbedömning	Ange med namn och roll den person som är ansvarig för bedömningen

Planerad personuppgiftsbehandling

Beskriv övergripande vilken behandling som planeras, exempelvis tjänsten, processen eller systemet som ska implementeras

Klicka eller tryck här för att ange text.

Utgå från faktorerna i artikel 35.1 i dataskyddsförordningen när ni avgör om det är en sådan typ av behandling som sannolikt leder till en hög risk för fysiska personers rättigheter och friheter, och som innebär att en konsekvensbedömning ska göras. Se nedan:

Användning av ny teknik

Begreppet avser användning av den senaste tekniken och tekniska kunskapen, exempelvis artificiell intelligens, maskininlärning och djupinlärning, självkörande fordon och intelligenta transportsystem, samt vissa Internet of Things­applikationer. Det kan även handla om ny och innovativ användning av befintlig teknik. Nya former av insamling och användning av uppgifter innebär ofta en högre risk för enskildas fri­ och rättigheter. Detta eftersom de personliga och sociala konsekvenserna av att använda ny teknik kan vara okända.10 En konsekvensbedömning hjälper person-uppgiftsansvariga att förstå och hantera sådana risker.

Behandlingens art

Begreppet avser vilken typ av behandling det är, hur den ska gå till och vilka typer av personuppgifter som ska behandlas. Några exempel på olika behandlingstyper är kommunikation, lagring och bearbetning. Hur behandlingen ska gå till kan exempelvis handla om vilken teknik som ska användas eller hur personuppgifterna rent praktiskt ska samlas in, användas, lagras eller delas. Vilka typer av personuppgifter som behandlas inbegriper frågan om uppgifterna är känsliga eller på annat sätt integritetskänsliga och om de avser sårbara eller särskilt utsatta personer. De sistnämnda kan exempelvis vara barn, personer med nedsatt funktionsförmåga eller individer som står i beroendeställning till den personuppgiftsansvarige.

Behandlingens omfattning

Begreppet avser vilken volym av personuppgifter det är fråga om, antalet registrerade, hur länge och hur ofta behandlingen ska pågå samt vilken geografisk omfattning den ska ha. För att klargöra behandlingens omfattning kan den personuppgiftsansvarige exempelvis fråga sig om behandlingen rör ett stort antal registrerade, om det är fråga om ett stort antal personuppgifter om varje registrerad, hur länge uppgifterna ska lagras samt hur många och vilka som kommer ha åtkomst till uppgifterna

Behandlingens sammanhang

Begreppet avser behandlingen i ett större perspektiv med hänsyn till olika interna och externa faktorer, exempelvis uppgifternas ursprung, den personuppgiftsansvariges relation till de enskilda personerna och i vilken utsträckning som enskilda har kontroll över sina uppgifter. Andra omständigheter som bör beaktas är om enskilda rimligen kan förvänta sig behandlingen eller om den kan uppfattas som oförutsägbar. Den personuppgiftsansvarige kan exempelvis fråga sig om behandlingen kommer att ske i ett särskilt förtroendefullt sammanhang där det finns förväntningar på konfidentialitet på grund av tystnadsplikt eller sekretess (som för sjukvårdspersonal, journalister, advokater, visselblåsningskanaler m.m.). I behandlingens sammanhang ingår även om det finns relevanta uppförandekoder eller andra certifieringssystem.

Behandlingens ändamål

Begreppet avser själva anledningen till att den personuppgiftsansvarige vill genomföra behandlingen och vilken effekt den kommer att ha på enskilda. Ibland används ordet syfte istället för ändamål. För att klargöra ändamålet med behandlingen kan den personuppgiftsansvarige exempelvis fråga sig vilka som är de förväntade för delarna med behandlingen för verksamheten eller för de registrerade. Ändamålet med behandlingen kan vara mer eller mindre integritetskänsligt. Om syftet med en tjänst exempelvis är att avslöja, peka ut, kontrollera eller övervaka vissa personer, eller att de registrerade ska kunna profileras på olika sätt, är behandlingens ändamål mer integritetskänsligt än om syftet är att kunna kontakta kunder för en kundnöjdhets undersökning.

Frågeställningar

Finns det redan med hänsyn till dessa faktorer något som talar för att en konsekvensbedömning behöver genomföras?

Välj ett objekt.

Exempel i artikel 35.3

En systematisk och omfattande bedömning av fysiska personers personliga aspekter som grundar sig på automatisk behandling, inbegripet profilering, och på vilken beslut grundar sig som har rättsliga följder för fysiska personer eller på liknande sätt i betydande grad påverkar fysiska personer.

Behandling i stor omfattning av särskilda kategorier av uppgifter, som avses i artikel 9.1, eller av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott, som avses i artikel 10.

Systematisk övervakning av en allmän plats i stor omfattning

Motsvarar eller liknar den planerade behandlingen något av exemplen i artikel 35.3 i dataskyddsförordningen

Välj ett objekt.

IMY:s förteckning enligt artikel 35.4

Huvudregeln är att om en planerad behandling uppfyller minst två av kriterierna i IMY:s förteckning enligt artikel 35.4 i dataskyddsförordningen måste en konsekvensbedömning genomföras. Förteckningen är inte uttömmande. En konsekvensbedömning kan behöva genomföras i ett enskilt fall även om bara ett av kriterierna i förteckningen är uppfyllt.

Om den personuppgiftsansvarige gör bedömningen att typen av behandling i ett enskilt fall sannolikt inte leder till en hög risk, trots att två eller flera av kriterierna är uppfyllda, ska en noggrann motivering för detta dokumenteras.

Vilka av kriterierna i förteckningen är uppfyllda?

Punkt nr	Exempel	Svar
1. Innebär behandlingen utvärdering eller poängsättning av människor?	Ett företag som erbjuder genetiska tester till konsumenter för att bedöma och förutse risker för sjukdomar, ett kreditupplysningsföretag eller ett företag som profilerar internetanvändare.	Välj ett objekt.
2. Behandlas personuppgifter i syfte att fatta automatiserade beslut som har rättsliga följder eller liknande betydande följder för den registrerade?	Välj ett objekt.
3. Innebär behandlingen systematisk övervakning av människor?	Genom kameraövervakning av en allmän plats eller genom att samla in personuppgifter från internetanvändning i offentliga miljöer	Välj ett objekt.
4. Behandlas känsliga personuppgifter enligt artikel 9 eller uppgifter som är av mycket personlig karaktär?	Ett sjukhus som lagrar patientjournaler, ett företag som samlar in lokaliseringsuppgifter eller en bank som hanterar finansiella uppgifter	Välj ett objekt.
5. Behandlas personuppgifter i stor omfattning?	Välj ett objekt.
6. Kombineras personuppgifter från två eller flera behandlingar på ett sätt som avviker från vad de registrerade rimligen kunnat förvänta sig?	Samkörning av register	Välj ett objekt.
7. Behandlas personuppgifter om personer som av något skäl befinner sig i ett underläge eller i beroendeställning och därför är sårbara?	Barn, anställda, asylsökande, äldre och patienter	Välj ett objekt.
8. Används ny teknik eller nya organisatoriska lösningar?	Sakernas internet-applikation (Internet of things, IoT)	Välj ett objekt.
9. Behandlas personuppgifter i syfte att hindra registrerade från att få tillgång till en tjänst eller ingå ett avtal?	När en bank granskar sina kunder mot en databas för kreditupplysning för att besluta om de ska erbjudas lån.	Välj ett objekt.

Är två eller fler av kriterierna i förteckningen uppfyllda?

Välj ett objekt.

Om svaret är ja, är bedömningen att typen av behandling ändå inte medför att en konsekvensbedömning ska genomföras?

Välj ett objekt.

Klicka eller tryck här för att ange text.

Även om två eller flera av kriterierna inte är uppfyllda ska en konsekvensbedömning genomföras ändå pga. risken för registrerades friheter och rättigheter?

Välj ett objekt.

Klicka eller tryck här för att ange text.

Är behandlingen mycket lik en behandling för vilken det redan genomförts en konsekvensbedömning på MIUN?

Välj ett objekt.

Klicka eller tryck här för att ange text.

Dataskyddsombudets bedömning

I de fall ni har kommit fram till att konsekvensbedömning inte behöver utföras trots att två eller fler kriterier är uppfyllda, inhämta dataskyddsombudets åsikt genom att mejla underlaget till dataskyddsombud@miun.se. När dataskyddsombudet har svarat på nedanstående frågor får du tillbaka bedömningen.

Delar dataskyddsombudet denna bedömning?

Välj ett objekt.

Klicka eller tryck här för att ange text.

Har dataskyddsombudet några rekommendationer?

Välj ett objekt.

Klicka eller tryck här för att ange text.

Personuppgiftsansvarig

Vad är den personuppgiftsansvariges svar på dataskyddsombudets rekommendation

Välj ett objekt.

Om dataskyddsombudets rekommendation avfärdats, ange en motivering nedan

Klicka eller tryck här för att ange text.

Hantering av underlaget

Bedömningen av behovet om konsekvensbedömning ska diarieföras. Om det ska genomföras en konsekvensbedömning gå vidare till ”mall för konsekvensbedömning”

Genomförd konsekvensbedömning läggs på samma dnr men sekretessmarkeras i diariet.