Steg 7 – Bedöm behovet av konsekvens­bedömning

Innan ni inleder er kamerabevakning behöver ni se över om det finns ett behov av att göra en konsekvensbedömning enligt artikel 35 i GDPR. Kravet på att göra en konsekvensbedömning aktualiseras relativt ofta eftersom kamerabevakning i sig ofta är ett integritetskänsligt sätt att behandla personuppgifter. Anledningen är bland annat att stora mängder personuppgifter kan samlas in och lagras.

Ni måste själva bedöma om en konsekvensbedömning är obligatorisk. Att inte ha genomfört en konsekvensbedömning trots att det varit obligatoriskt, eller ha genomfört den på ett bristfälligt sätt, kan leda till att IMY utfärdar sanktionsavgift.

Det är viktigt att vara medveten om att det är ”typen av behandling” som är relevant när behovet av en konsekvensbedömning ska bedömas. Åtgärder som ska reducera eller eliminera risker vid den enskilda planerade behandlingen är alltså inte relevant att beakta vid denna bedömning. Riskreducerande åtgärder ska beaktas först inom ramen för själva konsekvensbedömningen.

När en konsekvensbedömning krävs inför kamerabevakning

För att bedöma om en konsekvensbedömning är obligatorisk ska ni utgå från följande rättskällor: faktorerna som anges i artikel 35.1 i GDPR, exemplen som ges i artikel 35.3 i GDPR och IMY:s Förteckning enligt artikel 35.4 i dataskyddsförordningen.

1. Faktorerna som anges i artikel 35.1 i GDPR 

I artikel 35.1 nämns vissa faktorer som ni ska ta särskild hänsyn till när ni bedömer om en konsekvensbedömning behöver genomföras. De är

• användning av ny teknik
• behandlingens art
• behandlingens omfattning
• behandlingens sammanhang
• behandlingens ändamål. 

2. Exemplen som ges i artikel 35.3 i GDPR

I artikel 35.3 c i GDPR anges ”systematisk övervakning av en allmän plats i stor omfattning” som ett typexempel på när en konsekvensbedömning krävs innan en behandling påbörjas. 

Ni måste själva bedöma om den planerade kamerabevakningen faller in under detta exempel, och även kunna motivera er bedömning. Vid bedömningen underlättar det om man känner till vad begreppen i bestämmelsen innebär.

Läs mer i IMY:s Vägledning vid konsekvensbedömning – Rättsligt tolkningsstöd (pdf, 464 kB)

3. IMY:s förteckning enligt artikel 35.4 i GDPR

IMY har upprättat en förteckning över när en konsekvensbedömning ska göras.

IMY:s Förteckning enligt artikel 35.4 i dataskyddsförordningen (pdf, 400 kB)

Huvudregeln är att en konsekvensbedömning ska göras om den planerade behandlingen uppfyller minst två av kriterierna i förteckningen. Det är dock viktigt att komma ihåg att förteckningen inte är uttömmande, och att genomföra en konsekvensbedömning kan vara obligatoriskt i fler fall.

Kriteriet ”systematiskt övervakar människor” finns med i IMY:s förteckning. Det innebär att det endast krävs att ett ytterligare kriterium är uppfyllt för att det ska vara obligatoriskt att genomföra en konsekvensbedömning innan kamerabevakningen inleds.

Varför ska man göra en konsekvensbedömning?

Att göra en konsekvensbedömning i de fall det är obligatoriskt är en skyldighet enligt gällande lag. En konsekvensbedömning är en pågående och dokumenterad process som hjälper personuppgiftsansvariga att följa GDPR:s bestämmelser vid högriskbehandlingar. Det är ett bra verktyg för personuppgiftsansvariga att bedöma risker och säkerställa att bestämmelserna i GDPR följs. Processen ger även en fördjupad förståelse för den aktuella behandlingen, vilka risker den innebär för enskildas fri- och rättigheter och vilka säkerhets- och skyddsåtgärder som krävs för att minska riskerna.  

Dessutom är det utifrån konsekvensbedömningen som personuppgiftsansvariga ska avgöra om det finns en skyldighet att begära förhandssamråd med IMY.

Vägledning vid konsekvensbedömning

IMY har tagit fram mallar för att underlätta både bedömningen av om en konsekvensbedömning ska genomföras och själva genomförandeprocessen. IMY:s praktiska guide är ett stöd genom hela processen.

• En praktisk guide (pdf, 2 MB) innehåller IMY:s förslag på hur en konsekvensbedömning kan genomföras som en process i tio steg.
• Rättsligt tolkningsstöd (pdf, 464 kB) innehåller fördjupad information.
• Mallar till stöd i arbetet – mallarna kan användas för att bedöma behovet av konsekvensbedömning och genomföra själva konsekvensbedömningen.

Nästa steg

Om ni har kommit fram till att det finns en skyldighet att genomföra en konsekvensbedömning är det viktigt att den färdigställs innan kamerabevakningen inleds. Om det vid konsekvensbedömningen framkommer att kamerabevakningen inte uppfyller de rättsliga förutsättningarna och övriga krav ska den inte genomföras i den form som planeras.