En konsekvensbedömning enligt GDPR (DPIA) är obligatorisk när en behandling sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Kravet framgår av artikel 35 i dataskyddsförordningen och du ska genomföra bedömningen innan behandlingen påbörjas. Den här guiden förklarar när en konsekvensbedömning krävs, hur du gör den och när du dessutom måste begära förhandssamråd med IMY. Behöver du en färdig struktur att fylla i finns en separat mall för konsekvensbedömning.
Viktigaste punkterna
- Artikel 35.1 kräver en DPIA när en behandling sannolikt medför hög risk – bedömningen görs före behandlingen startar.
- Artikel 35.3 anger tre särskilda högriskfall, med den avgränsning som följer av artikel 35.10: systematisk och omfattande automatiserad bedömning som ligger till grund för beslut med rättslig eller liknande betydande effekt, storskalig behandling av särskilda uppgifter och storskalig systematisk övervakning av allmän plats.
- IMY publicerar en förteckning med nio kriterier och exempel. Den är inte uttömmande; även andra behandlingar kan kräva en bedömning.
- Om en hög risk kvarstår trots planerade skyddsåtgärder krävs förhandssamråd med IMY enligt artikel 36.
När är en konsekvensbedömning obligatorisk?
Grundregeln i artikel 35.1 är teknikneutral: krävs det när en typ av behandling – särskilt med ny teknik – sannolikt leder till en hög risk. Artikel 35.3 pekar särskilt ut tre situationer; pröva också om undantaget i artikel 35.10 är tillämpligt:
- Systematisk och omfattande bedömning av personliga aspekter grundad på automatiserad behandling, inklusive profilering, som utgör grund för beslut med rättsliga följder eller liknande betydande påverkan.
- Storskalig behandling av känsliga personuppgifter (art. 9) – till exempel inom hälso- och sjukvården – eller uppgifter om lagöverträdelser (art. 10).
- Systematisk övervakning av en allmän plats i stor omfattning – exempelvis kamerabevakning.
Utöver artikelns exempel publicerar IMY:s vägledning och förteckning kriterier och exempel enligt artikel 35.4. Förteckningen är inte uttömmande. Den omfattar bland annat biometri för att identifiera personer, behandling av känsliga uppgifter för profilering, och storskalig behandling av uppgifter om barn. Kontrollera alltid IMY:s aktuella förteckning innan du drar slutsatsen att en DPIA inte behövs.
EDPB:s nio kriterier
IMY:s förteckning bygger på Europeiska dataskyddsstyrelsens vägledning och använder nio kriterier. Ju fler kriterier som är uppfyllda, desto mer sannolikt är det att behandlingen medför hög risk:
| Kriterium | Exempel |
|---|---|
| Utvärdering eller poängsättning | Kreditbedömning, hälsoprofilering |
| Automatiserat beslutsfattande med rättslig verkan | Automatiskt avslag på ansökan |
| Systematisk övervakning | Kameror, platsspårning |
| Känsliga uppgifter eller mycket personlig data | Hälsa, etnicitet, ekonomi |
| Storskalig behandling | Stort antal registrerade eller volym |
| Matchning eller kombinering av dataset | Sammanförande från flera källor |
| Uppgifter om sårbara registrerade | Barn, anställda, patienter |
| Ny teknik eller innovativ användning | AI, ansiktsigenkänning, IoT |
| Behandling som hindrar rättighetsutövning | Blockerar en tjänst eller ett avtal |
När en kreditbedömning bygger på en beställd personupplysning behöver beställaren även dokumentera det legitima behovet av kreditupplysningen. Den kontrollen gäller insamlingens förutsättningar och ersätts inte av riskanalysen i en DPIA.
Som tumregel: uppfylls två eller fler kriterier anger IMY som huvudregel att en konsekvensbedömning ska göras, med hänsyn till artikel 35.10. Även ett enda kriterium kan räcka i ett enskilt fall. Dokumentera den konkreta riskbedömningen oavsett utfallet.
Gör en behovsprövning innan projektet låses
Börja med en kort beskrivning av den planerade behandlingen, inte med en allmän etikett som ”AI-projekt” eller ”HR-system”. Vilka personer berörs, vilka uppgifter används, vilka beslut eller åtgärder följer av behandlingen, vem får åtkomst och hur länge sparas uppgifterna? Skriv ned om uppgifter kombineras med andra register eller används på ett sätt som de registrerade knappast förväntar sig. Denna första karta gör det möjligt att bedöma artikel 35.1 och jämföra projektet med IMY:s exempel. Länka gärna underlaget till registerförteckningen, men en registerrad i sig besvarar inte riskfrågan.
Pröva artikel 35.3, IMY:s förteckning och de faktiska omständigheterna var för sig. Tvåkriterieregeln i IMY:s förteckning är en viktig huvudregel, men den ersätter inte bedömningen av en behandling som tydligt kan ge hög risk trots ett enda kriterium. Ett projekt med kamera vid en entré är inte likadant som storskalig, systematisk övervakning av en offentlig plats; antal kameror, upptagningsområde, syfte och personernas möjlighet att undvika bevakningen spelar roll. Se den separata genomgången av kamerabevakning och GDPR. Om ni landar i att någon DPIA inte krävs, skriv vilka omständigheter ni prövade och när beslutet ska omprövas.
Risk för människor, inte bara för verksamheten
Identifiera konkreta skadeförlopp. En felaktig träff i ett automatiserat urval kan stänga ute en person från arbete eller kredit. En läcka av hälsouppgifter kan ge sociala och ekonomiska följder även om organisationens direkta kostnad är liten. Övervakning på arbetsplatsen kan påverka anställdas beteende även utan en säkerhetsincident. Beskriv vem som kan drabbas, hur allvarligt och hur sannolikt utfallet är under just era förhållanden. Be den verksamhetsansvariga och de som känner de registrerades situation att granska scenarierna. Ett tekniskt team kan bedöma intrångsvägar, men inte ensamt värdera alla konsekvenser för individen.
Pröva samtidigt nödvändighet och proportionalitet. Om ändamålet kan uppnås genom färre uppgifter, kortare lagringstid eller en annan utformning ska alternativen beskrivas. Att behandlingen har en rättslig grund räcker inte för att den valda omfattningen ska vara proportionerlig. Kontrollera vem som är personuppgiftsansvarig och biträde, eftersom ansvarsfördelningen påverkar vilka uppgifter ni behöver från en leverantör och vem som fattar beslut om riskerna. Dokumentera också hur registrerade får information och kan utöva sina rättigheter.
Välj skydd som går att kontrollera
Koppla varje risk till en åtgärd som går att testa. Om problemet är att ett brett administratörskonto kan se känsliga uppgifter, kan behörighetsdelning, tidsbegränsad åtkomst, logggranskning och särskild godkännandeprocess vara mer träffsäkra än ett allmänt löfte om kryptering. Ange ansvarig person, datum och bevis på genomförande. Skilj på kontroller som redan fungerar och åtgärder som planeras. En åtgärd får inte sänka den bedömda kvarstående risken bara för att den finns i projektplanen. Inbyggt dataskydd gör det möjligt att ändra själva behandlingsdesignen innan dyra beroenden byggs in.
Behandla kvarstående risk som en ny bedömning efter planerade skydd. För varje allvarligt scenario behöver det framgå varför risken nu är acceptabel eller fortfarande hög. Beslutet bör fattas av den personuppgiftsansvarige med relevant sakkunskap; dataskyddsombudet ger råd när ett sådant finns men äger inte beslutet. Om ett viktigt test misslyckas ska slutsatsen uppdateras. Detsamma gäller om projektet ändrar syfte, datakällor, teknik eller målgrupp. En versionshistorik med ändringsorsak gör bedömningen användbar också efter driftsättning.
Exempel: nytt analysverktyg i en skola
En skola vill använda ett verktyg som kombinerar frånvaro, resultat och digital aktivitet för att identifiera elever som behöver stöd. Behovsprövningen fångar barn som sårbara registrerade, sammanföring av flera datakällor och utvärdering av individer. Projektet behöver därför en konsekvensbedömning innan behandlingen startar. Beskriv vilka uppgifter som faktiskt behövs för stödet, om automatiska poäng kan leda till felaktiga antaganden och hur elever och vårdnadshavare får begriplig information. Den separata guiden om GDPR i skolan ger den sektorspecifika kontexten.
Skolan prövar ett alternativ med färre uppgifter och mänsklig bedömning innan någon insats beslutas. Den begränsar åtkomst till ansvariga pedagoger, anger korta lagringstider och testar om felaktiga uppgifter kan rättas. Leverantören måste beskriva sina egna åtkomster och säkerhetsåtgärder. Efter dessa ändringar bedöms kvarvarande risker på nytt. Om elever fortfarande kan utsättas för hög risk som inte kan minskas med lämpliga åtgärder ska den ansvarige begära förhandssamråd med IMY före start. Det är en annan tröskel än den som utlöste själva DPIA:n.
Beslutsunderlag för start och uppföljning
Ett användbart beslutspaket innehåller en beskrivning av behandlingen, behovsprövningen, rättslig grund, alternativ, risker före åtgärder, ansvariga åtgärder och bedömning av kvarstående risk. Lägg till dataskyddsombudets råd där det är tillämpligt och förklara om råden inte följts. Artikel 35.9 säger att de registrerades eller deras företrädares synpunkter bör inhämtas när det är lämpligt, utan att skyddsvärda intressen äventyras. Det kan avslöja risker som projektgruppen missat. Enbart en signerad mall med tomma antaganden ger däremot inget säkert beslutsunderlag.
Förbered också en enkel ändringsregel: ny datakälla, större skala, ändrad mottagare, ny teknik eller en incident skickar bedömningen till förnyad granskning. Även om behandlingen från början låg under tröskeln kan en sådan ändring göra en DPIA nödvändig. Efter driftsättning är verkliga åtkomster, klagomål och felaktiga beslut viktigare än den ursprungliga projektprognosen. Samla dessa signaler så att åtgärdernas effekt kan kontrolleras. Behövs mer teknisk detalj kan beställningen för penetrationstest ge ett avgränsat test; den är endast ett komplement till bedömningen av påverkan på människor.
Så genomför du en konsekvensbedömning
Artikel 35.7 anger minimiinnehållet. En metodiskt korrekt DPIA innehåller fyra delar:
1. Systematisk beskrivning av behandlingen. Beskriv ändamål, kategorier av registrerade och uppgifter, mottagare, lagringstider och eventuella tredjelandsöverföringar. Underlaget hämtas i praktiken direkt från din registerförteckning – är den ofullständig blir konsekvensbedömningen det också. Ange även den rättsliga grunden enligt artikel 6.
2. Bedömning av nödvändighet och proportionalitet. Är behandlingen nödvändig för ändamålet, eller kan samma resultat nås med mindre ingripande medel? Här prövas dataminimering, lagringsminimering och att den rättsliga grunden faktiskt håller. Proportionalitet handlar om balansen mellan nyttan för organisationen och intrånget för de registrerade – ett litet effektivitetsvinst rättfärdigar sällan en omfattande övervakning.
3. Riskbedömning. Identifiera hoten mot de registrerades rättigheter – obehörig åtkomst, oönskad spridning, felaktiga beslut – och bedöm varje risk utifrån sannolikhet och allvarlighetsgrad. En tydligt förklarad riskmatris kan göra bedömningen spårbar, men valet av skala måste passa konsekvenserna i det aktuella fallet. Fokus ska ligga på konsekvenserna för individen, inte på affärsrisken för organisationen; en förväxling av dessa två perspektiv är ett av de vanligaste metodfelen.
4. Åtgärder för att hantera riskerna. Beskriv de tekniska och organisatoriska åtgärder som sänker risken: pseudonymisering, kryptering, behörighetsstyrning, avtal och gallringsrutiner. Om leverantörer är inblandade dokumenteras ansvaret i personuppgiftsbiträdesavtalet. Varje kvarvarande risk efter åtgärder – restrisken – ska bedömas uttryckligen, eftersom det är den som avgör om förhandssamråd med IMY behövs.
Om säkerhetsbedömningen behöver en teknisk kontroll kan ni använda beställningen för penetrationstest. Den avgränsar tillstånd, testdata och system samt anger vilket resultat som ska verifiera den aktuella skyddsåtgärden.
Enligt artikel 35.2 ska dataskyddsombudets råd inhämtas när ett sådant finns. Ombudets uppgift att övervaka genomförandet framgår av artikel 39.1 c. Om du är osäker på om organisationen behöver ett ombud, se guiden om när ett dataskyddsombud krävs. Konsekvensbedömningen är dessutom inte en engångsprodukt utan en levande handling: artikel 35.11 kräver vid behov översyn, åtminstone när risken med behandlingen förändras, exempelvis vid byte av leverantör eller ny funktionalitet.
Så dokumenterar ni ett nej till DPIA
Även ett beslut att inte göra en konsekvensbedömning behöver gå att förstå senare. Skriv vilken behandling som granskades, vilka IMY-kriterier ni prövade, varför risken inte bedöms som hög och vem som fattade beslutet. Ange vilka antaganden som skulle ändra slutsatsen, till exempel större skala eller en ny grupp registrerade. Det sparar tid när projektet växer och gör det möjligt för dataskyddsombudet att ge riktade råd. Om ni upptäcker att behandlingen ändå sannolikt innebär hög risk ska ni genomföra bedömningen innan den nya behandlingen startar. En tidigare negativ behovsprövning ger ingen permanent dispens.
Förhandssamråd med IMY (artikel 36)
Om konsekvensbedömningen visar att behandlingen skulle medföra en hög kvarstående risk trots vidtagna åtgärder, ska du enligt artikel 36.1 rådgöra med IMY innan behandlingen inleds. Detta kallas förhandssamråd. Tidsfristerna och IMY:s möjliga åtgärder följer artikel 36.2; lämna en fullständig dokumentation och planera inte driftsättning som om samrådet vore ett rutinmässigt godkännande.
Förhandssamråd är alltså inget godkännande i förväg för alla riskfyllda behandlingar – det utlöses först när du efter åtgärder fortfarande inte får ner risken till en acceptabel nivå. I praktiken är det en tydlig signal om att behandlingsdesignen behöver ses över innan den går live.
När flera organisationer deltar
En gemensam teknisk plattform kan användas av flera personuppgiftsansvariga med olika ändamål. Kartlägg då vilka beslut varje aktör faktiskt fattar. En leverantörs generella konsekvensbedömning av sin teknik kan vara ett värdefullt underlag, men den kan inte bedöma kundens lokala datakällor, grupper av registrerade och planerade beslut. Den ansvarige behöver begära konkreta uppgifter om drift, underleverantörer, åtkomst, loggar, radering och möjliga överföringar. Först därefter går det att uppskatta kvarstående risk i den egna behandlingen. Ett personuppgiftsbiträdesavtal reglerar viktiga ansvar, men ersätter inte denna prövning.
Om två ansvariga gemensamt bestämmer ändamål och medel, behöver de klargöra den gemensamma ansvarsfördelningen och hur information och rättigheter hanteras. Samordna riskbedömningen så att samma tekniska förutsättningar beskrivs konsekvent, men markera vilka åtgärder var och en ska genomföra. Ett vårdsamarbete kan till exempel dela infrastruktur men ha olika behörighetsroller och olika konsekvenser av felaktiga uppgifter. Det är just sådana skillnader som en alltför generell mall döljer. Lägg därför leverantörens intyg bredvid lokala testresultat, avtal och processbeskrivningar. Beslutsfattaren ska kunna se vilka kontroller som är styrkta och vilka som ännu kräver verifiering.
Vanliga misstag
- Att göra bedömningen för sent. En DPIA som skrivs efter driftsättning fyller ingen preventiv funktion och är formellt fel.
- Att förväxla den med registerförteckningen. Registret dokumenterar att en behandling sker; konsekvensbedömningen bedömer risken med den.
- Att sakna en motiverad riskbedömning. En färgad matris räcker inte om sannolikhet och allvar inte förklaras för varje viktigt scenario.
- Att inte uppdatera den. Ändras behandlingen väsentligt ska bedömningen revideras (art. 35.11).
När flera team arbetar i samma projekt behöver de kunna se vilken behandlingsversion, riskbedömning och åtgärd som beslutet gäller. En mall för tekniska och organisatoriska åtgärder kan hjälpa till att beskriva kontrollerna, men kontrollera alltid att de verkligen är genomförda och prövade. För projekt med AI-system kan ytterligare regler bli aktuella; pröva deras tillämplighet separat från artikel 35.
Vanliga frågor
Vad är skillnaden mellan en konsekvensbedömning och en registerförteckning?
Registerförteckningen (art. 30) är en förteckning över alla behandlingar en organisation utför. En konsekvensbedömning (art. 35) är en fördjupad riskanalys av en enskild behandling som sannolikt medför hög risk. Registret är utgångspunkten – DPIA:n är fördjupningen för de typer av behandling som sannolikt innebär hög risk.
Måste alla företag göra en konsekvensbedömning?
Nej. Skyldigheten gäller bara behandlingar som sannolikt medför hög risk. Många behandlingar med begränsad risk kräver ingen DPIA, men bedömningen av att en inte behövs bör dokumenteras så att den kan visas upp vid en tillsyn.
Vad händer om vi struntar i att göra en obligatorisk DPIA?
En utebliven obligatorisk bedömning kan leda till tillsynsåtgärder och sanktionsavgift enligt artikel 83.4. Avgiften bestäms i det enskilda fallet; artikelns tak är inte en normalavgift.
Vem ansvarar för konsekvensbedömningen?
Den personuppgiftsansvarige ansvarar för att bedömningen genomförs. Dataskyddsombudet ska ge råd och övervaka processen, men bär inte ansvaret. Det operativa arbetet kan delegeras, men beslutet och ansvaret ligger kvar hos den ansvarige.
Slutsats
En konsekvensbedömning är GDPR:s verktyg för att fånga risker innan de realiseras. Den är obligatorisk vid hög risk, med de särskilda exemplen i artikel 35.3 och den icke uttömmande vägledning som IMY:s förteckning ger. Metoden är fast: beskriv behandlingen, pröva nödvändigheten, bedöm riskerna och vidta åtgärder – och begär förhandssamråd med IMY om den höga risken kvarstår. Genomförd i tid ger den ett granskbart underlag för beslut om risker och skyddsåtgärder; den bevisar inte att hela behandlingen är förenlig med GDPR. Behandla den inte som en byråkratisk formalitet att bocka av, utan som ett designverktyg: viktiga risker kan ofta hanteras mer effektivt medan behandlingen fortfarande kan ändras. En behovsprövning tidigt i projektet gör det lättare att upptäcka när en fullständig bedömning behövs.