Vilka måste göra en konsekvens­bedömning?

Att bedöma en risk

För att kunna bedöma en risk ska man analysera risken, det vill säga beskriva

• händelsen och varför den är en potentiell risk
• hur sannolikt det är att händelsen inträffar
• hur allvarliga konsekvenserna blir om händelsen inträffar.

Ni måste kontinuerligt bedöma den risk som uppkommer vid era personuppgiftsbehandlingar. Förutom risken för enskildas personliga integritet måste ni titta på risken när det gäller andra grundläggande rättigheter, till exempel:

• yttrandefrihet
• tankefrihet
• fri rörlighet
• förbud mot diskriminering
• rätt till frihet, samvete och religion.

Behandlingar som sannolikt leder till hög risk

Dataskyddsförordningen ger tre exempel på behandlingar som sannolikt leder till hög risk:

Vilka måste göra en konsekvensbedömning?

Om er behandling faller in under någon av nedanstående kategorier kan det innebära att ni behöver göra en konsekvensbedömning. Om två eller flera av punkterna är uppfyllda ska ni i de allra flesta fall göra en konsekvensbedömning. I tveksamma fall bör ni alltid göra en konsekvensbedömning. Ni bör överväga att göra en konsekvensbedömning om ni

• utvärderar eller poängsätter människor, till exempel ett företag som erbjuder genetiska tester till konsumenter för att bedöma risker för sjukdomar, ett kreditupplysningsföretag eller ett företag som profilerar internetanvändare
• behandlar personuppgifter i syfte att fatta automatiska beslut som har rättsliga följder eller liknande betydande följder för den registrerade
• systematiskt övervakar människor, till exempel genom kameraövervakning av en allmän plats eller genom att samla in personuppgifter från internetanvändning i offentliga miljöer
• behandlar känsliga personuppgifter eller uppgifter som är mycket personliga, till exempel ett sjukhus som lagrar patientjournaler, ett företag som samlar in lokaliseringsuppgifter eller en bank som hanterar finansiella uppgifter
• behandlar personuppgifter i stor omfattning
• kombinerar personuppgifter från två eller flera behandlingar på ett sätt som den registrerade inte förväntar sig, till exempel när man samkör register
• behandlar personuppgifter om personer som av något skäl befinner sig i ett underläge eller i beroendeställning och därför är sårbara, exempelvis barn, anställda, asylsökande, äldre och patienter
• använder ny teknik eller nya organisatoriska lösningar, till exempel en sakernas internet-applikation (Internet of things, IoT)
• behandlar personuppgifter på ett sätt som hindrar de registrerade från att få tillgång till en tjänst eller ingå ett avtal, till exempel när en bank granskar sina kunder mot en databas för kreditupplysning för att besluta om de ska erbjudas lån.
  
  

Konsekvensbedömning är inte alltid nödvändig

Om det redan har gjorts en konsekvensbedömning för en behandling som är mycket lik den planerade behandlingen behöver ni inte göra en ny. Då kan resultatet från den tidigare konsekvensbedömningen användas. Ni behöver dock granska den tidigare konsekvensbedömningen för att säkerställa att den verkligen är lämplig att använda även för den nya behandlingen.

En konsekvensbedömning behöver inte heller göras om den planerade personuppgiftsbehandlingen inte sannolikt leder till en hög risk för enskildas fri- och rättigheter. Här följer två exempel på fall där man inte behöver göra en konsekvensbedömning eftersom det troligen inte är hög risk. Men observera att i tveksamma fall bör ni alltid göra en konsekvensbedömning. Tänk på att motivera och dokumentera era överväganden.