En mall för konsekvensbedömning hjälper er att dokumentera varför en planerad behandling behövs, vilka risker den medför för människor och hur riskerna ska hanteras. Den färdiga bedömningen måste beskriva er faktiska verksamhet. Ett ifyllt formulär med allmänna formuleringar om säkerhet visar inte om de berörda personerna kan utsättas för obefogad övervakning, felaktiga beslut eller förlust av kontroll över sina uppgifter.
Här finns en kopierbar struktur, en metod för att fylla i den och ett hypotetiskt exempel med positionering av tjänstebilar. Mallen är redaktionell och innebär inget godkännande från IMY. För själva frågan om när bedömningen krävs finns en separat genomgång av konsekvensbedömning enligt artikel 35. Den här sidan fokuserar på vilket underlag som behövs för att fatta och följa upp ett konkret beslut före behandlingen.
Avgränsa bedömningen innan ni fyller i mallen
Beskriv den behandling som ska bedömas, inte bara namnet på ett system. Samma program kan användas för schemaläggning, prestationsanalys och löneunderlag, med olika ändamål och risker. Ange vilka funktioner som faktiskt ska användas och vilka som stängs av. Om en leverantör senare aktiverar en ny analysfunktion måste det gå att se att den inte automatiskt omfattades av det ursprungliga beslutet.
Utgå från artikel 35.1, exemplen i artikel 35.3 och IMY:s förteckning enligt artikel 35.4. IMY:s rättsliga tolkningsstöd förklarar hur förteckningen förhåller sig till EDPB:s kriterier. Huvudregeln om minst två kriterier är inte en säker frizon när bara ett kriterium finns: en enskild behandling kan ändå sannolikt medföra hög risk. Dokumentera den konkreta bedömningen och motivera särskilt en avvikelse från huvudregeln.
Bestäm också vilken organisation som är personuppgiftsansvarig. Ett system som används av flera bolag kräver att rollerna klargörs, även om arbetet med bedömningen samordnas. En gemensam bedömning kan täcka liknande behandlingar som medför liknande höga risker, men skillnader i målgrupp, datamängd eller åtkomst måste hanteras. Leverantörens allmänna produktbeskrivning kan vara underlag, men den avgör inte hur just er användning påverkar de registrerade.
Kopierbar mall för konsekvensbedömning
Fyll i hänvisningar till bevis och underlag, inte bara slutsatser. Ange uttryckligen när information saknas och vem som ska ta fram den. Rutorna är inte en föreskriven myndighetsblankett. De samlar innehållet i artikel 35.7 och de beslut som behövs för att bedömningen ska få praktisk betydelse. Förvara känsliga tekniska bilagor med lämplig åtkomstbegränsning.
KONSEKVENSBEDÖMNING AVSEENDE DATASKYDD
Projekt/behandling: [ ]. Personuppgiftsansvarig: [ ].
Version/datum: [ ]. Ansvarig för underlaget: [ ]. Beslutsfattare: [ ].
1. Avgränsning och behov av bedömning
Planerad start och omfattning: [ ]. Funktioner som inte ingår: [ ].
Skäl för bedömningen enligt artikel 35 och IMY:s förteckning: [ ].
Berörda verksamheter, personuppgiftsansvariga och beroenden: [ ].
Tidigare bedömningar och vad som är jämförbart/annorlunda: [ ].
2. Systematisk beskrivning
Ändamål och konkret problem som ska lösas: [ ].
Berörda personer, uppgiftskategorier, källor, mängd och geografiskt område: [ ].
Insamling, användning, sökning, utlämnande, arkivering och radering: [ ].
System, integrationer, personuppgiftsbiträden och mottagare: [ ].
Lagringsplatser, fjärråtkomst och eventuella tredjelandsöverföringar: [ ].
Rättslig grund per ändamål; aktuellt berättigat intresse där det används: [ ].
Villkor för artikel 9/10 och annan tillämplig reglering, om relevant: [ ].
3. Nödvändighet och proportionalitet
Varför kräver ändamålet varje uppgift och funktion? [ ].
Alternativ med färre uppgifter eller mindre intrång och jämförelse: [ ].
Standardinställningar, behörigheter, lagringstider och radering: [ ].
Information, rättigheter och praktiskt fungerande kontaktvägar: [ ].
Avtal, överföringsstöd och kontroll av leverantörernas uppgifter: [ ].
4. Risker för människors rättigheter och friheter
För varje risk: händelse/orsak, berörda personer, möjlig skada,
sannolikhet, allvarlighetsgrad och motivering med underlag: [ ].
Osäkerheter, sårbara grupper och kumulativa effekter: [ ].
Bedömning före åtgärder: [ ]. Skala och metodens begränsningar: [ ].
5. Åtgärder och kvarstående risk
För varje risk: planerad åtgärd, ansvarig, tidsfrist och verifiering: [ ].
Hur minskar åtgärden sannolikhet eller skadans allvar? [ ].
Kvarstående risk och belägg för bedömningen: [ ].
Åtgärder som måste vara genomförda före start: [ ].
6. Medverkan och råd
Dataskyddsombudets råd, om ombud är utsett, och hantering av råden: [ ].
Synpunkter från registrerade eller företrädare där det är lämpligt: [ ].
Om synpunkter inte inhämtas: bedömning och skäl, med hänsyn till
kommersiella/allmänna intressen och säkerheten i behandlingen: [ ].
Övrig kompetens och granskning som behövts: [ ].
7. Beslut och förhandssamråd
Laglighetsfrågor som måste lösas: [ ].
Visar bedömningen kvarstående hög risk som inte kan begränsas tillräckligt?
[Motiverat beslut om förhandssamråd enligt artikel 36 före behandling.]
Beslut: inte genomföra / omarbeta / villkor för start / samråd: [ ].
Vem fattar beslutet, när och på vilket underlag? [ ].
Oenigheter och hur de har hanterats: [ ].
8. Uppföljning
Kontroll av genomförda åtgärder och ansvarig: [ ].
Händelser som ska utlösa ny bedömning: [ ].
Planerad uppföljning utifrån risk och förändringstakt: [ ].
Versionshistorik, bilagor och åtkomst till bedömningen: [ ].
Gör beskrivningen möjlig att kontrollera
Den som granskar dokumentet ska kunna följa en uppgift från insamling till radering. Beskriv exempelvis om en användares position skickas kontinuerligt, lagras som historik, blir synlig för arbetsledare och kan exporteras till ett kalkylblad. Att skriva att leverantören erbjuder en säker molntjänst säger inget om dessa steg. Ta med administratörers åtkomst och eventuella kopior hos andra funktioner i organisationen.
Använd gärna befintlig registerförteckning för identiteter, ändamål och mottagare. Kontrollera att uppgifterna stämmer med projektets aktuella konfiguration. Register och konsekvensbedömning fyller olika funktioner: registret ger överblick, medan bedömningen behöver förklara varför en lösning är nödvändig och hur riskerna värderats. En hänvisning till registret kan undvika dubblering men får inte dölja vilken version som faktiskt användes som underlag.
Granska leverantörernas uppgifter kritiskt. Be om besked om underbiträden, supportåtkomst, radering och export som gäller den tjänst och det avtal ni väljer. Ett personuppgiftsbiträdesavtal enligt artikel 28 eller ett annat bindande rättsligt instrument enligt unionsrätten eller nationell rätt ska vara skriftligt, även elektroniskt. Instrumentet är en del av styrningen, men ersätter inte bedömningen av om den planerade användningen är proportionerlig.
Pröva behovet innan ni försöker sänka riskpoängen
En behandling måste ha rättsligt stöd även om säkerheten är god. Om ett ändamål kan uppnås lika effektivt med färre uppgifter behöver ni förklara varför den mer ingripande lösningen ändå valts. Jämför verkliga alternativ, såsom aggregerade uppgifter, kortare historik, lokala beräkningar eller en funktion som användaren aktiverar vid behov. En jämförelse mellan det valda systemet och att inte göra någonting blir ofta för snäv.
För varje uppgiftskategori bör det framgå vilken funktion den fyller. Ett fullständigt personnummer, ett exakt klockslag eller en lång positionshistorik kan framstå som praktiskt utan att vara nödvändigt. Utgå från ändamålet och gör inte leverantörens standardinställningar till ett rättsligt argument. Genom inbyggt dataskydd och dataskydd som standard kan bedömningen påverka själva utformningen innan lösningen låses i ett avtal eller införandeprojekt.
Rättslig grund måste också bedömas för den registrerade som berörs. Ett avtal med leverantören är inte i sig grund för behandling av anställdas uppgifter. Om organisationen stödjer sig på berättigat intresse behöver det konkreta intresset, nödvändigheten och avvägningen mot individen framgå. En konsekvensbedömning ersätter inte den avvägningen, men underlagen bör vara förenliga och inte beskriva olika ändamål för samma funktion.
Formulera risker som händelser med konsekvenser
Skriv inte bara att det finns en risk för dataläckage. Beskriv vem som kan få tillgång till vilka uppgifter och vad det kan innebära för en person. En felaktig behörighet kan ge en kollega insyn i vårdbesök. En missvisande algoritm kan leda till att någon nekas en tjänst. En alltför detaljerad historik kan göra det möjligt att dra slutsatser som aldrig behövdes för det ursprungliga ändamålet.
Riskanalysen behöver därför omfatta mer än obehöriga angrepp. Även avsedd användning kan vara för ingripande, skapa osakliga skillnader eller göra det svårt att utöva rättigheter. Fråga om uppgifterna kan rättas, om en människa kan förstå ett beslut och om en sårbar person verkligen kan undvika behandlingen. Konsekvenser som uppstår genom flera kombinerade uppgifter kan vara större än varje enskild uppgift antyder.
Skilj mellan vad ni vet och vad ni antar. Om ni antar att bara två personer har åtkomst, kontrollera behörigheterna. Om leverantören uppger att uppgifter raderas automatiskt, undersök vilka kopior och loggar som omfattas. När underlag saknas ska dokumentet visa osäkerheten och nästa åtgärd. En risknivå som bygger på oprövade antaganden blir inte säker genom att den anges med en exakt siffra.
Använd riskmatrisen som stöd, inte som beslutssystem
En enkel matris kan hjälpa deltagarna att diskutera sannolikhet och allvarlighetsgrad på samma sätt. Definiera skalorna i ord och använd konsekvenser för människor som utgångspunkt. Om ni multiplicerar två poäng bör ni samtidigt skriva varför varje poäng valts. Produkten är ett internt hjälpmedel, inte en tröskel som lagstiftaren har fastställt för när IMY ska kontaktas.
Var särskilt uppmärksam på allvarliga skador med lägre sannolikhet. De får inte försvinna i ett medelvärde eller en grön färg som delas med triviala händelser. Bedöm också om riskerna drabbar vissa personer hårdare, exempelvis anställda med skyddade personuppgifter. En sällsynt exponering av en sådan persons rörelsemönster kan kräva andra skydd än samma exponering för en mindre utsatt grupp.
Koppla varje åtgärd till en bestämd risk och beskriv hur effekten ska kontrolleras. Kryptering minskar exempelvis inte risken för missbruk av en behörig användare på samma sätt som begränsade roller och uppföljning av åtkomst. En mall för tekniska och organisatoriska åtgärder kan stödja dokumentationen. Undvik att kopiera en lång lista av säkerhetsåtgärder som ingen kan visa är införda i det aktuella systemet.
Exempel: positionering av tjänstebilar
Anta att ett serviceföretag vill skicka närmaste tillgängliga bil till akuta uppdrag. Den första kravbilden innehåller kontinuerlig positionering, historik över alla resor och en rapport över varje förares stopp. I bedömningen bör dessa funktioner skiljas åt. Fördelning av aktuella uppdrag kräver inte automatiskt en lång historik, och en rapport för kontroll av arbetsprestationer innebär ett annat ändamål än att hitta en ledig bil.
Undersök om en aktuell position under arbetstid räcker, om lägre precision är tillräcklig och om positioneringen kan stängas av vid privat användning. Tala med berörda förare eller deras företrädare när det är lämpligt och dokumentera synpunkterna. Samtycke är inte en enkel lösning på beroendeställningen i anställningen. Den rättsliga grunden och eventuell arbetsrättslig reglering behöver bedömas för den faktiska användningen, inte hämtas från ett allmänt exempel.
Möjliga risker är kartläggning av privata besök, otillåten användning för personalbedömningar och felaktiga slutsatser när en annan person kör bilen. Åtgärder kan vara en tydligt avgränsad funktion, begränsad åtkomst och en teknisk lösning som förhindrar insamling utanför den godkända användningen. Beskriv hur varje åtgärd provas. En instruktion om att inte använda historiken privat väger annorlunda än en lösning där den onödiga historiken inte samlas in.
Bestäm lagringstid utifrån varje kvarvarande ändamål. Exemplet motiverar inte ett generellt antal dagar för all GPS-information. Om historik behövs för ett avgränsat syfte ska organisationen visa varför, hur länge och vilka som får använda den. Principen om lagringsminimering och gallring gäller också när leverantören erbjuder obegränsad lagring utan extra kostnad. Kontrollera att radering omfattar exporter och andra arbetskopior som verksamheten skapar.
Råd, synpunkter och beslut före start
Om ett dataskyddsombud är utsett ska den personuppgiftsansvarige begära ombudets råd vid konsekvensbedömningen. Ombudet ger råd och övervakar arbetet inom sitt uppdrag; ansvaret för behandlingen ligger kvar hos den personuppgiftsansvarige. Artikel 35 skapar inte i sig en skyldighet att utse ett ombud för varje projekt. Läs därför reglerna om när dataskyddsombud krävs separat från projektets behov av juridisk eller teknisk kompetens.
Där det är lämpligt ska synpunkter hämtas in från de registrerade eller deras företrädare, utan att åsidosätta kommersiella eller allmänna intressen eller behandlingens säkerhet. Dokumentera hur frågan bedömts. Om detaljer inte kan delas, kan en avgränsad beskrivning ändå ge värdefulla synpunkter på förväntningar och konsekvenser. Att bara låta projektgruppen anta vad de berörda tycker ger ett svagare beslutsunderlag.
När bedömningen visar kvarstående hög risk som inte kan begränsas tillräckligt ska förhandssamråd med tillsynsmyndigheten ske före behandlingen enligt artikel 36. Ett internt beslut att acceptera risken ersätter inte det kravet. IMY:s vägledning om konsekvensbedömningar beskriver processen och tillgängliga stöd. Skilj mellan ett färdigt utkast till bedömning och ett faktiskt beslut att behandlingen får starta med genomförda åtgärder.
Granska underlaget med någon som inte deltagit i projektet
Låt en person med relevant kompetens läsa bedömningen utan en muntlig genomgång först. Personen ska kunna förstå vad som ska införas, vilka risker som återstår och vilka åtgärder som hindrar start tills de är verifierade. Om svaren bara finns hos projektledaren är dokumentationen för beroende av en enskild person. Be granskaren särskilt kontrollera att slutsatserna om rättigheter stämmer med beskrivningen av systemets funktioner och begränsningar.
Granska även negativa besked från leverantören. Om systemet saknar selektiv radering, export per person eller möjlighet att begränsa administratörers åtkomst ska detta framgå. Bedöm om en annan konfiguration eller arbetsmetod faktiskt löser problemet. Att markera en fråga som hanterad därför att leverantören har svarat räcker inte. Dokumentet ska visa om svaret uppfyller verksamhetens behov och vilka konsekvenser ett kvarstående problem får för beslutet.
En annan användbar kontroll är att välja en registrerad och följa dennes rättigheter genom processen. Kan organisationen hitta uppgifterna, förklara varifrån de kommer och rätta ett fel även efter att uppgifterna har förts vidare? Om svaret är att en administratör måste söka manuellt i många exporter behöver arbetsinsatsen och risken för ofullständiga svar bedömas. Konsekvensbedömningen kan då leda till en enklare arkitektur eller färre kopior, inte bara en ny rutintext.
Skilj också mellan underlag som kan delas öppet och bilagor som behöver skyddas. En begriplig sammanfattning kan underlätta dialog med de berörda utan att avslöja detaljer om säkerhetskonfiguration eller andra personers uppgifter. Det finns inte någon allmän skyldighet i artikel 35 att publicera hela bedömningen. Andra regler, exempelvis om allmänna handlingar i offentlig verksamhet, kan samtidigt behöva prövas. Bestäm därför inte dokumentets sekretess enbart genom att märka det internt.
När flera deltagare gör olika bedömningar bör skillnaden beskrivas konkret. En säkerhetsspecialist kan bedöma obehörig åtkomst som osannolik medan personalföreträdare ser betydande risker i den tillåtna användningen. Båda frågorna kan vara relevanta och kräva skilda åtgärder. Beslutsfattaren behöver se vad oenigheten gäller, vilket underlag som saknas och varför den valda lösningen ändå bedöms möjlig eller måste ändras.
Uppföljning och vanliga frågor
Bedömningen behöver granskas när det behövs, åtminstone när behandlingens risk förändras. Nya mottagare, fler registrerade, ändrade analysfunktioner eller erfarenheter från en incident kan utlösa en ny prövning. Ange vem som ska få information om sådana ändringar. En fast intern kontrolltid kan vara praktisk, men ersätter inte behovet att reagera på en viktig förändring mellan planerade granskningar.
Måste dokumentet ha en viss längd?
Nej. Innehållet ska vara tillräckligt för att beskriva behandlingen, pröva nödvändighet och proportionalitet, bedöma riskerna och ange åtgärderna. En kort motivering med kontrollerbart underlag kan vara mer användbar än många sidor standardsvar. Mallen behöver ändå visa hur slutsatserna nåddes och vem som ansvarar för att åtgärderna blir genomförda.
Kan leverantörens konsekvensbedömning användas?
Den kan bidra med tekniska uppgifter och återanvändbart underlag. Ni måste fortfarande bedöma er egen konfiguration, era ändamål och de personer som berörs. Kontrollera också om dokumentet beskriver samma version och avtalsvillkor. Leverantörens bedömning av en standardtjänst bevisar inte att varje användning av tjänsten är nödvändig, proportionerlig eller förenlig med svensk reglering.
Räcker en låg riskpoäng för att gå vidare?
Nej. Poängen måste kunna förklaras, åtgärderna måste fungera och behandlingen måste ha rättsligt stöd. Kontrollera särskilt om bedömningen förutsätter en funktion som ännu inte är införd. Beslutet bör ange vilka villkor som ska vara uppfyllda före start och hur detta verifieras. En färg i ett kalkylblad kan inte ersätta den prövningen.