GDPR – Vurdering af konsekvenserne for privatlivets fred

Instrumentet til en privacy impact assessment (PIA) eller data protection impact assessment (DPIA) blev introduceret med den generelle databeskyttelsesforordning (Art. 35 i GDPR). Dette refererer til den dataansvarliges forpligtelse til at gennemføre en konsekvensanalyse og dokumentere den, inden den påtænkte databehandling påbegyndes. Man kan samle vurderingen for flere behandlingsprocedurer.

Grundlæggende skal der altid foretages en vurdering af konsekvenserne for databeskyttelsen, når behandlingen kan medføre en høj risiko for de registrerede fysiske personers rettigheder og friheder. Vurderingen skal især udføres, hvis en af de eksempler, der er opført i artikel 35, stk. 3, i GDPR er relevant. For at præcisere den åbne formulering i loven vedrørende den grundlæggende forpligtelse til at udføre en konsekvensanalyse, er tilsynsmyndighederne involveret. I et første udkast skabte Artikel 29-arbejdsgruppen et katalog med ti kriterier, som indikerer, at behandlingen indebærer en høj risiko for fysiske personers rettigheder og friheder. Disse er for eksempel scoring/profilering, automatiske beslutninger som fører til juridiske konsekvenser for dem der påvirkes, systematisk overvågning, behandling af særlige personoplysninger, data der behandles i stor skala, sammenlægning eller kombination af data indsamlet gennem forskellige processer, data om personer med manglende handleevne eller begrænset handleevne, anvendelse af nye teknologier eller biometriske procedurer, dataoverførsel til lande uden for EU/EØS og databehandling der hindrer invol

Derudover skal de nationale tilsynsmyndigheder etablere og offentliggøre en liste over behandlingsaktiviteter, der altid kræver en konsekvensanalyse vedrørende databeskyttelse i deres jurisdiktion (positiv liste). De er også frie til at offentliggøre en liste over behandlingsaktiviteter, der specifikt ikke kræver en konsekvensanalyse vedrørende privatliv (negativ liste). Hvis en virksomhed har udpeget en databeskyttelsesrådgiver, skal hans råd tages i betragtning, når der udføres en DPIA. Hvordan og efter hvilke kriterier konsekvenserne og risiciene for de registrerede vurderes, forbliver stort set ubesvaret. De første skabeloner blev styret af inspektionsordningerne af ISO-standarder eller Standard Databeskyttelsesmodellen.