En personvernkonsekvensvurdering, ofte kalt DPIA, undersøker hvordan en planlagt behandling kan påvirke menneskene opplysningene gjelder. Etter artikkel 35 i personvernforordningen skal vurderingen gjennomføres før behandlingen når den sannsynligvis vil medføre høy risiko for fysiske personers rettigheter og friheter. Formålet er å påvirke løsningen og beslutningen om oppstart, ikke bare å produsere et dokument etter at alle viktige valg allerede er tatt.
Personvernforordningen gjelder i Norge gjennom personopplysningsloven § 1 og EØS-innlemmelsen med tilpasninger. Vurderingen må derfor ta utgangspunkt i norsk anvendelse, relevante nasjonale regler og Datatilsynets liste. En utenlandsk leverandørs generelle rapport kan gi informasjon, men erstatter ikke vurderingen av deres formål, brukere, opplysninger og arbeidsmåte.
Begynn med behandlingen dere faktisk planlegger
Beskriv hva virksomheten ønsker å oppnå, hvilke personer som berøres og hvordan opplysninger brukes fra innsamling til sletting. Navnet på systemet er ikke en tilstrekkelig avgrensning. Det samme systemet kan brukes til flere formål med forskjellige konsekvenser. En skoleplattform kan for eksempel støtte vanlig kommunikasjon og samtidig tilby detaljerte analyser av elevers atferd. Disse funksjonene må ikke vurderes som om de var identiske.
Avgrens også hvilke deler prosjektet ikke omfatter. Hvis automatisk rangering ikke skal brukes, må dette samsvare med den tekniske konfigurasjonen og avtalen med leverandøren. En muntlig forsikring om at funksjonen vanligvis er avslått gir et svakt grunnlag. Beskriv hvordan nye funksjoner blir vurdert før aktivering, slik at et senere produktbytte eller en standardoppdatering ikke endrer behandlingen uten at noen merker det.
Bruk behandlingsprotokollen som inngang, men kontroller opplysningene mot faktisk planlegging. Protokollen er en oversikt; DPIA-en går videre til nødvendighet, forholdsmessighet og risiko for mennesker. Det kan være nyttig å vise dataflyten i et enkelt kart som omfatter leverandører, lokal lagring, eksport og støttefunksjoner. Da blir også manglende informasjon synlig tidlig i arbeidet.
Når artikkel 35 krever DPIA
Artikkel 35 nr. 1 krever en vurdering når behandlingens art, omfang, formål og sammenheng sannsynligvis medfører høy risiko, særlig ved bruk av ny teknologi. Ny teknologi alene betyr ikke at enhver funksjon automatisk krever DPIA. Samtidig trenger teknologien ikke være ny for at behandlingen skal være risikofylt. Omfang, sårbare personer eller konsekvensene av en feil kan være avgjørende i et ellers velkjent system.
Artikkel 35 nr. 3 beskriver blant annet systematisk og omfattende vurdering av personlige forhold basert på automatisert behandling, når vurderingen ligger til grunn for avgjørelser med rettsvirkning eller tilsvarende betydelig påvirkning. Bestemmelsen omfatter også behandling i stor skala av særlige kategorier eller opplysninger om straffedommer og lovovertredelser, samt systematisk overvåking i stor skala av offentlig tilgjengelige områder. Vilkårene skal leses samlet for hvert tilfelle.
Ikke forkort disse bestemmelsene til at all profilering, alle helseopplysninger eller alle kameraer alltid utløser den samme plikten. En konkret behandling kan likevel kreve DPIA etter hovedregelen eller den norske listen selv om den ikke treffer en av beskrivelsene i nr. 3. Vurder derfor alle relevante grunnlag før konklusjonen skrives, og forklar hvilken bestemmelse eller listekategori dere bygger på.
Les hele vilkåret i Datatilsynets liste
Datatilsynets DPIA-veiledning inneholder listen etter artikkel 35 nr. 4. Flere punkter har uttrykkelige kombinasjonsvilkår. Biometriske opplysninger for å identifisere enkeltpersoner og behandling med innovativ teknologi er eksempelvis knyttet til minst ett annet kriterium. En kort liste med bare ordene biometri eller ny teknologi ville utelate en viktig del av den nasjonale avgrensningen.
De ni kriteriene i den europeiske veiledningen hjelper blant annet ved vurdering av evaluering, overvåking, særlig personlige opplysninger, stor skala, sammenstilling, sårbare personer og hindringer for å bruke rettigheter eller tjenester. To kriterier er en praktisk indikator i veiledningen, ikke en matematisk regel som erstatter artikkel 35. Ett kriterium kan være tilstrekkelig, og en beslutning om at DPIA ikke kreves må kunne begrunnes ut fra de konkrete forholdene.
I et borettslag kan beslutningsgrunnlaget for kameraovervåking hjelpe med å kartlegge behov, områder og alternativer. En slik innledende kartlegging er ikke automatisk en full DPIA. Den gir derimot et bedre grunnlag for å avgjøre om vilkårene er oppfylt. Beskriv vurderingen uten å anta at en liten organisasjon alltid har lav personvernrisiko.
Et nei til DPIA krever også et begrunnet grunnlag
Dersom behandlingen ikke sannsynligvis innebærer høy risiko og ikke omfattes av et annet relevant krav, er ikke en full DPIA nødvendigvis påkrevd. Virksomheten må likevel oppfylle de øvrige pliktene. En kort forutgående vurdering bør vise hvilke fakta og kriterier som ble gjennomgått, hvem som vurderte dem og hva som vil utløse ny vurdering. Det er mer nyttig enn en avkryssing uten begrunnelse.
Artikkel 35 nr. 10 inneholder et snevert unntak for visse behandlinger basert på lovregulerte oppgaver eller plikter, der en konsekvensvurdering allerede er gjennomført som ledd i vedtakelsen av det aktuelle rettsgrunnlaget. Det er ikke nok at prosjektet generelt har hjemmel i en lov. Kontroller om den bestemte behandlingen og vilkårene faktisk er dekket. Datatilsynets veiledning omtaler denne avgrensningen særskilt.
En tidligere DPIA kan brukes for lignende behandlinger med tilsvarende høy risiko, men likheten må være reell. Hvis en ny enhet skal behandle andre opplysninger eller bruker systemet til å treffe mer inngripende avgjørelser, kan den gamle vurderingen være utilstrekkelig. Gjenbruk beskrivelsen der den passer og dokumenter forskjellene, i stedet for å kopiere en konklusjon som bygger på andre forutsetninger.
Fordel roller uten å flytte ansvaret til ombudet
Den behandlingsansvarlige har ansvaret for DPIA-en. Etter artikkel 35 nr. 2 skal vedkommende søke råd fra personvernombudet, der et slikt er utpekt. Ombudet skal kunne gi uavhengige råd og følge opp vurderingen. Det er ikke hensiktsmessig å gjøre ombudet til den som alene bestemmer formålet, velger systemet og deretter kontrollerer egne beslutninger.
Arbeidet trenger innsikt fra dem som kjenner virksomheten, teknologien og de rettslige rammene. Prosesseieren forklarer behovet; IT beskriver hvordan data faktisk behandles; relevante fagpersoner vurderer konsekvenser for berørte grupper. Et slikt samarbeid er en praktisk anbefaling, ikke et krav om en bestemt prosjektorganisasjon med et fast antall deltakere. Roller og omfang må passe den aktuelle behandlingen.
En databehandler skal bistå med forpliktelsene etter artiklene 32 til 36 under hensyn til behandlingens art og opplysningene databehandleren har tilgjengelig. Avklar hvilke tekniske beskrivelser og kontrollresultater leverandøren kan gi. En standardrapport kan dekke produktets funksjoner, men kundens konkrete bruk og rettsgrunnlag må fortsatt vurderes av den ansvarlige virksomheten.
Første del: systematisk beskrivelse
Artikkel 35 nr. 7 krever en systematisk beskrivelse av planlagte behandlingsaktiviteter og formål, herunder eventuelle berettigede interesser som forfølges. Beskriv datakilder, kategorier av personer, opplysninger, mottakere og lagring. Ta med hvem som kan endre opplysningene, hvem som kan eksportere dem, og om en ekstern part får tilgang ved støtte eller vedlikehold. Slike detaljer kan endre risikobildet vesentlig.
Bruk hypotetiske eller anonymiserte eksempler for å gjøre beskrivelsen forståelig. Hvis et sosialtjenestesystem skal flagge saker for ekstra kontroll, forklar hvilke opplysninger som fører til et flagg og hva saksbehandleren gjør etterpå. Det er ikke nødvendig å legge virkelige personmapper i DPIA-dokumentet. Dere trenger tilstrekkelig kunnskap om behandlingen, ikke en ny samling med sensitive rådata.
Registrer usikkerhet som en konkret oppgave. Hvis leverandøren ikke har avklart hvilket land støttepersonell kan arbeide fra, skal det stå hvem som innhenter svaret og om spørsmålet hindrer oppstart. Et tomt felt kan ellers bli tolket som at ingen overføring skjer. En bevisst angivelse av ukjent med ansvarlig oppfølging er bedre enn en ubegrunnet bekreftelse om at alt skjer i Norge.
Andre del: nødvendighet og forholdsmessighet
Vurder om formålet er konkret og lovlig, og om behandlingen faktisk er nødvendig for å oppnå det. Sammenlign realistiske alternativer med mindre inngrep. Et ønske om mer effektiv drift gir ikke i seg selv grunnlag for å samle alle tilgjengelige opplysninger. Dataminimering i skjemaer og systemer kan brukes til å vurdere hvert felt, hvert tilgangsnivå og hver eksport.
Rett grunnlag må vurderes separat. En DPIA skaper ingen hjemmel som ellers mangler. Guiden til behandlingsgrunnlag etter artikkel 6 gir et utgangspunkt, og særlige kategorier kan kreve et ytterligere vilkår etter artikkel 9. Ved automatiserte avgjørelser må dere også kontrollere artikkel 22. En person som bare godkjenner systemets forslag uten reell vurdering er ikke nødvendigvis tilstrekkelig menneskelig involvering.
Kontroller informasjon, rettighetsutøvelse og lagringsbegrensning. Kan personen forstå behandlingen og få feil korrigert? Kan en berettiget innsigelse faktisk behandles? Knytt lagringsreglene til konkrete hendelser og systemfunksjoner. Et arkiv som ingen har tilgang til å rydde, er ikke en fungerende sletteordning. Dette arbeidet gir samtidig konkrete krav til innebygd personvern.
Tredje del: risiko for mennesker
Risikoen skal vurderes fra de registrertes perspektiv. Økonomisk tap for virksomheten og omdømme kan være relevante for andre risikovurderinger, men er ikke et tilstrekkelig mål her. Personer kan rammes gjennom diskriminering, tap av tjenester, feilaktig mistanke, identitetstyveri, eksponering av private forhold eller redusert mulighet til å protestere. Noen konsekvenser oppstår selv om data aldri lekker ut av systemet.
Et hypotetisk kommunalt prioriteringsverktøy kan være teknisk sikkert, men likevel gi urimelige utslag dersom gamle opplysninger brukes uten kontroll. Et feilaktig risikoflagg kan påvirke oppfølgingen av en familie. Beskriv da hvordan feilen kan oppstå, hvem som kan bli rammet og hvor alvorlig konsekvensen kan være. En generell linje om lav sannsynlighet for hacking dekker ikke dette problemet.
Vurder sannsynlighet og alvorlighet med begrunnelse. En enkel matrise kan gjøre diskusjonen ryddigere, men tallene må ikke gi falsk presisjon. Forklar hvorfor konsekvensen er alvorlig for akkurat denne gruppen, og hvilke forutsetninger vurderingen bygger på. Barn, pasienter og ansatte kan ha ulike muligheter til å velge bort behandlingen eller rette en feil. Det påvirker hvordan tiltakene bør utformes.
Fjerde del: tiltak og dokumentert restrisiko
Hvert vesentlig risikoscenario bør kobles til konkrete tiltak. Begrenset tilgang kan motvirke uvedkommende innsyn; bedre datakvalitetskontroll kan redusere feilaktige avgjørelser; kortere lagring kan begrense eksponeringen over tid. Et tiltak må passe årsaken. Kryptering løser ikke en ulovlig formålsutvidelse, og en opplæringsplan løser ikke alene at alle brukere har administratorrettigheter.
Skill mellom tiltak som er gjennomført, besluttet og bare foreslått. Vurderingen før oppstart må bygge på den beskyttelsen dere faktisk kan sikre. Hvis et avgjørende tiltak er avhengig av en senere programvareversjon, må oppstart eller funksjonsomfang vurderes på nytt. Beskriv hvordan virkningen skal kontrolleres og hvem som følger opp. Leverandørens generelle produktløfte er ikke tilstrekkelig bevis for en bestemt installasjon.
Når tiltakene er lagt inn, vurderes restrisikoen for de samme scenariene. Ikke senk risikonivået bare fordi dokumentet inneholder mange tiltak. Det må fremgå hvorfor sannsynligheten eller konsekvensen faktisk reduseres. En slik sammenheng gjør det også lettere å oppdatere DPIA-en senere når et tiltak svikter, en ny datakilde kobles til eller en tidligere forutsetning ikke lenger gjelder.
Berørte personer og åpenhet
Etter artikkel 35 nr. 9 skal den behandlingsansvarlige, når det er relevant, innhente de registrertes eller deres representanters synspunkter, uten at dette går ut over kommersielle eller offentlige interesser eller sikkerheten i behandlingen. Forklar hvordan dere vurderer relevansen. Innspill kan synliggjøre praktiske virkninger som prosjektgruppen ikke oppdager, for eksempel at en alternativ kanal i praksis ikke er tilgjengelig for den berørte gruppen.
Det følger ingen generell plikt av artikkel 35 til å offentliggjøre hele vurderingen. Andre regler om offentlighet og innsyn må likevel vurderes der de gjelder. Datatilsynet omtaler fordeler ved å publisere et sammendrag. Et slikt sammendrag kan forklare formål, hovedrisikoer og beskyttelse uten å publisere sårbarheter, hemmeligheter eller opplysninger om enkeltpersoner. Informasjonsplikten overfor registrerte gjelder uansett separat.
I forskningsprosjekter kan dokumentasjonen også måtte passe institusjonens øvrige rutiner. Forberedelse av Sikts meldeskjema er et annet arbeid enn å avgjøre DPIA-plikt. Et innsendt skjema eller en leverandørvurdering bør derfor ikke omtales som en generell godkjenning av all behandling. Avklar hvem som beslutter hva, og hvilke vurderinger som faktisk er gjort.
Høy restrisiko og forhåndsdrøftelse
Dersom vurderingen viser høy risiko som ikke kan reduseres tilstrekkelig med tiltak, skal den behandlingsansvarlige rådføre seg med Datatilsynet før behandlingen etter artikkel 36. Ledelsen kan ikke erstatte denne plikten med en intern erklæring om at risikoen er akseptert. Se Datatilsynets forklaring av forhåndsdrøftelse for innsending og nødvendig grunnlag.
Underlaget omfatter blant annet ansvar, formål og midler, planlagte tiltak, ombudets kontaktinformasjon der relevant og selve vurderingen. En uferdig DPIA uten avklarte dataflyter gjør ikke dialogen lettere. Vis hvilke alternativer dere har undersøkt og hvorfor risiko fortsatt gjenstår. Datatilsynet kan be om mer informasjon og bruke sine lovbestemte myndighetsbeføyelser; forhåndsdrøftelse er ingen automatisk produktgodkjenning.
Artikkel 36 har regler om skriftlige råd innen en periode på opptil åtte uker når myndigheten mener behandlingen vil stride mot forordningen. Perioden kan forlenges med seks uker ved kompleksitet, med informasjon om forlengelse og grunner innen én måned. Den kan også suspenderes i påvente av nødvendig informasjon. Disse reglene bør ikke omtolkes til at taushet etter åtte uker gir virksomheten rett til å starte.
Beslutning, drift og ny vurdering
En ansvarlig beslutning bør angi hva som godkjennes, hvilke tiltak som må være på plass og hvilke spørsmål som fortsatt er åpne. Bevar ombudets råd og forklar hvordan det er håndtert. Dokumentasjon av ansvarlighet innebærer å vise både vurderingen og oppfølgingen. En signert forside gjør ikke en mangelfull beskrivelse eller et ubegrunnet risikonivå tilstrekkelig.
Artikkel 35 nr. 11 krever kontroll ved behov, særlig når risikoen endres. Det finnes ingen generell regel om at alle DPIA-er er gyldige i nøyaktig tre år. Nye formål, datakilder, mottakere, modeller eller hendelser kan kreve tidligere oppdatering. Opplysninger fra avvikshåndteringen kan vise at en tidligere antakelse om tilgang eller sikkerhet ikke holdt. Vurderingen må da møte den nye situasjonen.
Hvis prosjektet også omfattes av regler om kunstig intelligens, må deres anvendelse og norske/EØS-rettslige status vurderes separat. En DPIA erstatter ikke andre påkrevde vurderinger, og andre dokumenter erstatter ikke DPIA-en. Oversikten over programvare for AI Act-arbeid kan gi spørsmål om dokumentasjon og sammenhenger, men et verktøy eller et regelverksnavn avgjør ikke hvilke plikter prosjektet faktisk omfattes av.
Faglig oppdatert 29. september 2026. Norske lovkilder og Datatilsynets publiserte liste og veiledning er kontrollert. De hypotetiske eksemplene illustrerer vurderingsarbeidet og er ikke beskrivelser av vedtak eller anbefalte standardkonklusjoner for alle virksomheter.