En konsekvensanalyse vedrørende databeskyttelse (DPIA, Data Protection Impact Assessment) er en struktureret vurdering af de risici, en behandling af personoplysninger indebærer for de registreredes rettigheder — og af de foranstaltninger, der skal håndtere risiciene. Den er lovpligtig efter artikel 35 i databeskyttelsesforordningen (GDPR), når en type behandling “sandsynligvis vil indebære en høj risiko” for fysiske personer. En konsekvensanalyse skal som minimum indeholde en systematisk beskrivelse af behandlingen, en vurdering af nødvendighed og proportionalitet, en vurdering af risiciene og de påtænkte foranstaltninger til at imødegå dem. Den skal gennemføres inden behandlingen sættes i gang.
Denne guide gennemgår, hvornår en konsekvensanalyse er obligatorisk, Datatilsynets liste over behandlinger med høj risiko, de fire trin i selve analysen, og hvornår du skal foretage forudgående høring af Datatilsynet.
Hvornår er en konsekvensanalyse obligatorisk?
Artikel 35, stk. 1, kræver en konsekvensanalyse, når en behandling sandsynligvis vil indebære en høj risiko. Artikel 35, stk. 3, nævner tre klassiske tilfælde:
- Systematisk og omfattende vurdering af personlige forhold baseret på automatisk behandling, herunder profilering, som ligger til grund for afgørelser med retsvirkning (eller tilsvarende betydelig virkning).
- Behandling i stort omfang af følsomme oplysninger (art. 9) eller oplysninger om strafbare forhold (art. 10).
- Systematisk overvågning af et offentligt tilgængeligt område i stort omfang (fx videoovervågning).
Den europæiske WP248-vejledning opstiller ni kriterier, blandt andet evaluering, systematisk overvågning, følsomme oplysninger, stort omfang, sammenstilling af datasæt, sårbare registrerede og innovativ teknologi. To kriterier peger ofte på behov for en analyse, men er ikke en automatisk lovbestemt tærskel. En enkelt alvorlig risikofaktor kan også være nok; omvendt kræver vurderingen altid konkret begrundelse.
Datatilsynet har offentliggjort sin danske liste over typer af behandling, der altid kræver en analyse. Læs den konkrete aktivitet og betingelserne på listen i stedet for at slutte, at enhver brug af en bestemt datatype automatisk er omfattet. Fravær fra listen er heller ikke en fritagelse: artikel 35, stk. 1, gælder fortsat ved sandsynlig høj risiko. Behandlinger, der udløser en analyse, bør markeres i fortegnelsen.
De fire trin i en konsekvensanalyse
En brugbar konsekvensanalyse følger fire trin, som modsvarer kravene i artikel 35, stk. 7:
1. Beskriv behandlingen
Beskriv systematisk behandlingen: formål, kategorier af oplysninger og registrerede, behandlingsgrundlaget efter artikel 6, modtagere, opbevaringsperioder og datastrømme (herunder underdatabehandlere og tredjelandsoverførsler). Beskrivelsen bør trække direkte på fortegnelsen og de tilhørende databehandleraftaler.
2. Vurder nødvendighed og proportionalitet
Er behandlingen nødvendig for at opnå formålet, eller kan formålet nås med færre oplysninger? Vurdér dataminimering, opbevaringsbegrænsning, information til de registrerede og deres mulighed for at udøve rettigheder. Dette trin hænger tæt sammen med princippet om databeskyttelse gennem design.
3. Identificér og vurder risiciene
Kortlæg risiciene for de registrerede — ikke for organisationen. Tænk i konsekvenser: identitetstyveri, diskrimination, tab af fortrolighed, økonomisk skade, omdømmetab. Vurdér både sandsynlighed og alvor for hver risiko.
4. Fastlæg foranstaltninger
Beslut, hvordan hver risiko håndteres: kryptering, pseudonymisering, adgangsstyring, sletterutiner, uddannelse, kontraktvilkår. Restrisikoen efter foranstaltningerne afgør, om du kan gå videre, eller om der kræves forudgående høring.
Se den udfyldte DPIA-skabelon for et samlet eksempel på sammenhængen mellem behandling, risici, foranstaltninger og den afsluttende beslutning.
Hvem inddrages, og hvornår gentages analysen?
En konsekvensanalyse er ikke en solo-øvelse. For at blive brugbar bør den inddrage flere roller:
- Databeskyttelsesrådgiveren skal rådgive om analysen og overvåge dens gennemførelse (art. 35, stk. 2, og art. 39, stk. 1, litra c). DPO’ens råd og eventuelle afvigelser bør dokumenteres.
- De systemansvarlige og forretningen kender behandlingen og de tekniske detaljer.
- IT-sikkerhed vurderer de tekniske foranstaltninger.
- Hvor det er hensigtsmæssigt, skal den dataansvarlige indhente de registreredes eller deres repræsentanters synspunkter om den planlagte behandling, uden at det berører beskyttelsen af kommercielle eller samfundsmæssige interesser eller behandlingens sikkerhed (art. 35, stk. 9). Det kan fx ske via medarbejderrepræsentanter, når dette er relevant.
Analysen skal revideres, når risikoen ved behandlingen ændrer sig — for eksempel ved nyt formål, ny teknologi, ny databehandler eller ændret omfang. En intern planlagt gennemgang kan være nyttig, men GDPR fastsætter ingen generel toårsfrist for alle analyser.
Kort eksempel: rekrutteringsværktøj med automatisk scoring
Et hypotetisk værktøj, der rangerer ansøgere automatisk, kan kombinere evaluering, mulige automatiske afgørelser og et ulige magtforhold. Beskrivelsen fastlægger, hvilke oplysninger der scores på; nødvendighedsvurderingen spørger, om scoringen er nødvendig, eller om en mindre indgribende metode rækker. Risikovurderingen undersøger diskrimination og fejlagtig frasortering. Foranstaltninger kan omfatte menneskelig kontrol, gennemsigtighed og test for skævhed. Vurder separat, om løsningen er omfattet af AI-forordningens regler; dette kan ikke afgøres alene ud fra ordet »rekrutteringsværktøj«.
Forudgående høring af Datatilsynet (art. 36)
Hvis konsekvensanalysen viser, at behandlingen fortsat vil indebære en høj restrisiko, som du ikke kan afbøde med rimelige midler, skal du efter artikel 36 rådføre dig med Datatilsynet, inden behandlingen påbegyndes. Tilsynet kan give skriftlig rådgivning eller udnytte sine beføjelser efter artikel 58, herunder at nedlægge forbud mod behandlingen. Forudgående høring er en undtagelse — de fleste konsekvensanalyser ender med, at risikoen kan håndteres uden høring.
Konsekvensanalysen er ikke et engangsdokument. Den skal revideres, når risikoen ved behandlingen ændrer sig, for eksempel ved nyt formål, ny teknologi eller en ny underdatabehandler. Databeskyttelsesrådgiveren skal rådgive om og overvåge gennemførelsen (art. 39, stk. 1, litra c). En praktisk arbejdsgang kobler analysen til behandlingen i fortegnelsen og giver en ansvarlig person besked, når en ændring kræver ny vurdering.
Konsekvensanalysen i det samlede compliance-billede
En konsekvensanalyse står sjældent alene — den trækker på og fører videre til flere andre forpligtelser:
- Ind i analysen går oplysninger fra din fortegnelse over behandlingsaktiviteter (formål, kategorier, modtagere) og fra dine databehandleraftaler (hvem behandler hvad, og hvor).
- Ud af analysen kommer konkrete foranstaltninger, der ofte implementeres gennem databeskyttelse gennem design — pseudonymisering, adgangsstyring, sletterutiner — samt en dokumenteret restrisiko, der afgør, om der kræves forudgående høring.
Derfor er konsekvensanalysen ikke et isoleret dokument, men et bindeled i dokumentationen. Den er også et af de stærkeste beviser på ansvarlighed (art. 5, stk. 2), hvis Datatilsynet senere ser på behandlingen.
Kilder og videre læsning
Det retlige grundlag findes i artikel 35 i databeskyttelsesforordningen, suppleret i dansk ret af databeskyttelsesloven (lov nr. 502 af 23. maj 2018). Datatilsynet har desuden offentliggjort en liste over behandlingstyper, hvor en konsekvensanalyse altid er påkrævet — tjek altid din behandling mod denne liste, inden du konkluderer, at en analyse ikke er nødvendig. Følg listen, og dokumentér din vurdering, uanset om du gennemfører en analyse eller ej.
Start med en dokumenteret screening
En DPIA bør begynde med en kort, skriftlig beslutning om, hvorfor analysen er nødvendig. Beskriv først den planlagte behandling uden at kopiere en leverandørs markedsføring: Hvem er de registrerede, hvilke oplysninger bruges, hvor kommer de fra, hvilke beslutninger påvirkes, og hvor længe fortsætter behandlingen? Sammenhold derefter beskrivelsen med artikel 35, stk. 3, Datatilsynets nationale liste og det generelle kriterium om sandsynlig høj risiko. Hvis svaret er nej, bør notatet stadig forklare hvorfor. En ny datakilde, nyt formål eller større udbredelse kan ændre konklusionen senere.
Forestil dig en kommune, der vil samle borgerhenvendelser fra flere afdelinger i et nyt system. Det er ikke nok at skrive »almindeligt sagsbehandlingssystem«. Vurder, om systemet samler helbredsoplysninger, sociale forhold eller andre data, som tidligere var adskilt. Se på antal personer, adgang for medarbejdere, søgefunktioner og risiko for, at data bruges på tværs af formål. Et system, der kun erstatter et tilsvarende system, kan stadig ændre risikoen, hvis flere brugere får adgang eller nye analyser bliver mulige. Omvendt udløser en teknisk udskiftning ikke automatisk artikel 35 uden konkret risiko.
Datatilsynets vejledning lægger ansvaret for denne første vurdering hos den dataansvarlige. Den siger også, at databehandleren skal hjælpe. Bed derfor leverandøren om de oplysninger, som kun leverandøren kender: faktisk placering af data, adgangsmodel, logning, underdatabehandlere, slettefunktioner og begrænsninger ved eksport. En generel erklæring om GDPR-overholdelse besvarer ikke disse spørgsmål. Sammenhold leverandørens svar med databehandleraftalen og den planlagte konfiguration.
Beskriv risikoen fra personens side
En risiko i DPIA’en er en mulig virkning for et menneske. Sætningen »systemet kan hackes« er kun en hændelse; analysen må forklare, hvad adgang til oplysningerne kan betyde for personen. For eksempel kan forkert adgang til en medarbejders helbredsoplysninger påvirke fortrolighed, relationer på arbejdspladsen og muligheder for at gøre indsigelse. En fejlagtig score i et rekrutteringsforløb kan påvirke adgangen til arbejde. Risiko for bøde, tab af omdømme og ekstra driftsomkostninger kan være vigtige for virksomheden, men er ikke en erstatning for vurderingen efter artikel 35.
Opdel gerningsforløbet i trin: Hvem kan få adgang, hvilken oplysning kan vedkommende se, og hvilken skade kan realistisk følge? Vurder både utilsigtede fejl og misbrug, hvis de er relevante. Notér antagelser, for eksempel om oplysningerne er krypteret, om nøglestyringen er adskilt, og om adgang faktisk begrænses. Sandsynlighed og alvor bør begrundes med fakta om den konkrete løsning. En farvet risikomatrix alene forklarer ikke, hvorfor risikoen anses for acceptabel. En scenariebaseret cyberrisikoanalyse kan give teknisk input til hændelsesforløbet, mens DPIA’en fortsat skal vurdere følgerne for personerne.
Inddrag også risici, som ikke er rene sikkerhedsbrud. Manglende information, vanskeligheder ved indsigtsanmodninger, fejlagtig sammenstilling og for lange opbevaringsperioder kan skade personers rettigheder selv i et teknisk sikkert system. Vurder om formålet kan nås med mindre data, kortere opbevaring eller mindre automatisering. Hvis en mindre indgribende løsning er mulig, kræver proportionalitetsdelen en reel begrundelse for at vælge den mere omfattende behandling.
Fra foranstaltning til restrisiko
Knyt hver foranstaltning til den risiko, den faktisk mindsker. Adgangsstyring hjælper mod uvedkommendes opslag, men retter ikke en skæv scoringsmodel. Menneskeligt gennemsyn kan afbøde beslutningsfejl, men er kun meningsfuldt, hvis den ansvarlige får forståelige oplysninger og kan ændre resultatet. En slettefunktion reducerer opbevaringsrisiko, men kun hvis den dækker kopier og bliver brugt. Beskriv derfor ejer, implementering, kontrol og resterende usikkerhed for hvert væsentligt tiltag. Se guiden til databeskyttelse gennem design for arbejdet med at omsætte beslutninger til indstillinger.
Et hypotetisk rekrutteringssystem kan illustrere slutningen på analysen. Hvis ansøgere scores efter uddannelses- og erfaringstræk, kan man fjerne variable uden klar relevans, kontrollere data for fejl og sikre adgang til manuel revurdering. Alligevel kan risikoen for diskrimination være høj, hvis scoringsmodellen ikke kan forklares eller kontrolleres. I så fald bør den dataansvarlige ikke erklære risikoen lukket alene, fordi leverandøren lover fremtidige forbedringer. Projektet må ændres, udskydes eller vurderes efter reglerne om forudgående høring.
Artikel 36 bliver relevant, når DPIA’en viser, at høj risiko sandsynligvis står tilbage trods de planlagte foranstaltninger. Datatilsynet beskriver forudgående høring som en pligt i den situation, inden behandlingen begynder. En høj risiko før afbødning betyder ikke i sig selv, at høring er nødvendig; omvendt kan man ikke undgå høring ved blot at nedjustere farven i et skema uden ændringer i behandlingen. Dokumentér derfor både den oprindelige risiko og vurderingen efter gennemførte tiltag.
Brug analysen, når behandlingen ændres
En DPIA bør pege på en beslutning: Kan behandlingen starte, under hvilke betingelser, og hvem kontrollerer, at betingelserne faktisk er opfyldt? Gem den version af systembeskrivelsen, som analysen bygger på. Hvis en leverandør senere indfører ny datadeling, eller virksomheden kobler endnu en datakilde til, er det muligt at se præcis, hvilken antagelse der ikke længere holder. Artikel 35, stk. 11, kræver gennemgang, når risikoen ved behandlingen ændres. En kalenderpåmindelse kan hjælpe, men en ændring i risikoen skal behandles, når den opdages.
Giv DPO’en mulighed for at rådgive tidligt, men lad den dataansvarlige træffe og dokumentere beslutningen. Hvis DPO’en anbefaler en anden løsning, bør uenigheden beskrives med begrundelse. Den, der ejer projektet, skal også eje gennemførelsen af de valgte foranstaltninger. Derved bliver DPIA’en en efterprøvbar beslutning om en konkret behandling og ikke blot en skabelon, der fyldes ud efter lancering.
Ofte stillede spørgsmål
Hvad er forskellen på en risikovurdering og en konsekvensanalyse?
En risikovurdering efter artikel 32 fokuserer på sikkerheden ved behandlingen — fortrolighed, integritet og tilgængelighed. En konsekvensanalyse efter artikel 35 er bredere: den vurderer alle risici for de registreredes rettigheder og friheder, herunder proportionalitet, information og retsudøvelse. Konsekvensanalysen er kun obligatorisk ved høj risiko, mens en form for risikovurdering altid er nødvendig.
Skal konsekvensanalysen sendes til Datatilsynet?
Nej, ikke som udgangspunkt. Konsekvensanalysen opbevares som en del af din dokumentation og fremlægges på anmodning. Kun hvis analysen viser en høj restrisiko, som ikke kan afbødes, skal du foretage forudgående høring efter artikel 36.
Hvad sker der, hvis jeg ikke laver en påkrævet konsekvensanalyse?
Manglende konsekvensanalyse ved en højrisikobehandling er et selvstændigt brud på artikel 35. I Danmark kan Datatilsynet udtale kritik, give påbud eller indstille den dataansvarlige til bøde via politianmeldelse, hvorefter domstolene fastsætter bøden. Manglende risikostyring indgår desuden som et skærpende element, hvis behandlingen senere fører til et sikkerhedsbrud.
Kan én konsekvensanalyse dække flere behandlinger?
Ja. Artikel 35, stk. 1, tillader udtrykkeligt, at en enkelt analyse omfatter en række lignende behandlinger, der indebærer tilsvarende høje risici. Det er praktisk for organisationer, der udruller den samme type behandling flere steder — fx ensartet videoovervågning på flere lokationer eller det samme HR-system i flere afdelinger. Betingelsen er, at behandlingerne reelt ligner hinanden i karakter, omfang, sammenhæng og formål, så risikobilledet er det samme.
Konklusion
En konsekvensanalyse er obligatorisk, når en behandling sandsynligvis indebærer høj risiko for de registrerede — og den skal laves, inden behandlingen begynder. Følg de fire trin: beskriv behandlingen, vurdér nødvendighed og proportionalitet, kortlæg risiciene og fastlæg foranstaltninger. Tjek altid mod Datatilsynets liste over behandlinger, der altid kræver en analyse, og foretag forudgående høring, hvis restrisikoen forbliver høj. Knyt analyserne til din fortegnelse, og lad DPO’en overvåge gennemførelsen.