En konsekvensanalyse, på engelsk DPIA (data protection impact assessment), er en vurdering af, hvad en planlagt brug af personoplysninger kan betyde for de personer, oplysningerne handler om. Den kræves, når behandlingen sandsynligvis vil indebære en høj risiko for dem. Pligten ligger hos virksomheden som dataansvarlig, så det er ledelsen, der ejer analysen. Har I en DPO, altså en databeskyttelsesrådgiver, skal I rådføre jer med vedkommende, og DPO’en overvåger gennemførelsen. Selve skrivearbejdet kan ligge hos en medarbejder eller en ekstern. Beslutningen om at gå videre er jeres.
Risikovurdering eller konsekvensanalyse?
De to ord blandes ofte sammen. Forskellen ligger i tre forhold.
- Hvem risikoen gælder · Datatilsynet skriver, at vurderingen i en konsekvensanalyse angår risici for den registrerede, altså personen, og ikke virksomhedens egne risici. Risikostyring inden for fx informationssikkerhed ser typisk på organisationen.
- Hvornår den laves · risikovurderingen efter art. 32 omfatter ifølge Datatilsynet alle planlagte og eksisterende behandlinger. Konsekvensanalysen laves før en bestemt behandling, og kun når kriterierne er opfyldt.
- Hvad der følger med · analysen spørger også, om behandlingen er nødvendig og står i rimeligt forhold til formålet, og den kan føre til høring af Datatilsynet.
Et tænkt eksempel viser forskellen. En transportvirksomhed vil give chaufførerne en score ud fra positionsdata fra bilerne. For virksomheden handler risikoen om nedbrud, datatab og omdømme. For chaufføren handler den om at blive overvåget og måske bedømt på et forkert grundlag. Systemet kan være velbeskyttet og alligevel gå for langt. Hvordan de to perspektiver holdes adskilt i selve vurderingen, står i én risikovurdering til både persondata og NIS2.
Hvornår kræves den?
Art. 35, stk. 1, stiller kravet ved sandsynlig høj risiko, navnlig ved brug af nye teknologier. Efter stk. 3 er analysen især påkrævet ved:
- automatisk og omfattende vurdering af personlige forhold, herunder profilering, der danner grundlag for afgørelser med betydelig virkning for personen,
- følsomme oplysninger eller oplysninger om straffedomme, når de behandles i stort omfang,
- systematisk overvågning af et offentligt tilgængeligt område i stort omfang.
Datatilsynet har desuden en liste med otte typer behandlinger, der altid kræver en analyse, fx lokationsdata eller nye teknologier sammen med mindst ét yderligere kriterium. Kriterierne står i WP248, retningslinjer fra Artikel 29-gruppen, EU-tilsynenes tidligere samarbejdsorgan. Der er ni, og opfylder en behandling to, kan I i de fleste tilfælde gå ud fra, at der skal laves en analyse, og i nogle tilfælde er ét nok. Eksemplet med chaufførerne rummer både evaluering, systematisk overvågning og ansatte, som retningslinjerne regner blandt de sårbare grupper.
Et nyt IT-system er ikke automatisk ny teknologi, siger Datatilsynet, og I skal stadig vurdere risikoen. Fravælger I en analyse, selv om behandlingen ligner et af tilfældene, bør I begrunde det skriftligt og tage DPO’ens synspunkt med.
Hvem gør hvad?
Den dataansvarlige bærer det endelige ansvar, og analysen kan udføres af en anden i eller uden for organisationen. Resten er god praksis. Vi foreslår denne fordeling:
- Direktionen · beslutter, om behandlingen skal i gang, og hvilken risiko der kan accepteres.
- Projektejeren eller systemejeren · skriver udkastet, fordi vedkommende kender formålet og arbejdsgangen.
- DPO’en · rådgiver undervejs og overvåger, at analysen bliver gennemført.
- Sikkerhedsansvarlig og IT · bidrager med de tekniske foranstaltninger og kan selv foreslå en analyse.
- Leverandøren · skal hjælpe med de nødvendige oplysninger, når den behandler data på jeres vegne.
- De registrerede · skal høres, hvis det er relevant, fx gennem et spørgsmål til medarbejderrepræsentanterne. Vælger I det fra, skriver I begrundelsen ned.
Analysen skal som minimum rumme fire ting: en systematisk beskrivelse af behandlingen og formålet, en vurdering af nødvendighed og proportionalitet, en vurdering af risiciene for de registrerede og de foranstaltninger, der skal imødegå dem. Datatilsynet har en skabelon, også en særlig til AI.
Det, DPO’en bidrager med
Efter art. 39, stk. 1, litra c, skal DPO’en rådgive, når der bliver spurgt, og overvåge gennemførelsen. Rådgivningen kan ifølge Datatilsynet handle om:
- om der overhovedet skal laves en analyse,
- hvilken fremgangsmåde der skal bruges,
- om den kan laves internt, eller om der skal ekstern hjælp til,
- hvilke tekniske og organisatoriske foranstaltninger der skal begrænse risiciene,
- om analysen er korrekt udført, og om konklusionerne holder.
Det sidste punkt er grunden til, at DPO’en efter vores vurdering ikke bør skrive analysen. Den, der skal bedømme arbejdet, kan vanskeligt have udført det. Det står ikke direkte i reglerne, og tankegangen er den samme som i Kan IT-chefen også være DPO?. Retningslinjerne anbefaler, at DPO’ens opgaver her står i kontrakten, også for en ekstern DPO.
Når ledelsen er uenig
Ledelsen må godt gå imod DPO’ens anbefaling. Dokumentationen for analysen skal så rumme en skriftlig begrundelse for, hvorfor rådet ikke blev fulgt. DPO’en kan ikke afskediges for at have rådet til en analyse, I er uenige i. Ansvaret bliver hos jer, se Kan DPO’en holdes ansvarlig?.
Når risikoen stadig er høj
Viser analysen, at risikoen forbliver høj trods foranstaltningerne, skal I høre Datatilsynet, før behandlingen begynder (art. 36). Tilsynet har op til otte uger til skriftlig rådgivning, hvis det finder en overtrædelse, og fristen kan i visse situationer forlænges. Høringen skal blandt andet rumme analysen og DPO’ens kontaktoplysninger. Svaret er ingen godkendelse af alt, der følger.
Efter analysen
En konsekvensanalyse er en løbende proces. I skal se på den igen, når risikoen ændrer sig, og vurdere det, når formålet ændres, eller der kommer nye typer oplysninger til. Sæt en dato på, og læg den i DPO’ens årshjul. Offentliggørelse er ikke et krav. Manglende eller forkert udført analyse kan give en administrativ bøde, når pligten gælder.
Det skal I lade være med
- At lave analysen efter købet · den skal ligge før behandlingen, mens den stadig kan ændre noget.
- At genbruge sikkerhedsvurderingen · den svarer sjældent på, hvad behandlingen betyder for personen.
- At bede DPO’en om en underskrift i stedet for et råd · beslutningen er ledelsens.
- At fravælge analysen uden notat · så kan I ikke vise, at I har vurderet det.
Det skal I kræve af den eksterne
- ☐ En skriftlig vurdering af, om en analyse er nødvendig.
- ☐ Råd om fremgangsmåde, før skrivearbejdet begynder.
- ☐ En begrundet vurdering af den færdige analyse.
- ☐ Besked om, hvilke opgaver DPO-rollen ikke dækker.
- ☐ En dato for næste gennemgang.
Tag som næste skridt listen over systemer, I vil indføre det kommende år, og spørg DPO’en om dem, der vurderer eller overvåger personer. Gengivelsen af reglerne er forenklet og kan ikke bruges som juridisk rådgivning.
Kilder
- Forordning (EU) 2016/679 på EUR-Lex: art. 35, art. 36 og art. 39, stk. 1, litra c.
- Datatilsynet: Konsekvensanalyse: vejledning og skabeloner.
- Datatilsynets liste over behandlinger, der altid kræver analyse.
- Datatilsynet: Risikovurdering.
- Artikel 29-gruppen: Retningslinjer om konsekvensanalyse, WP248, dansk udgave hos Datatilsynet: kriterier og roller.
- Artikel 29-gruppen: Retningslinjer om databeskyttelsesrådgivere, WP243, dansk udgave hos Datatilsynet: afsnit 3.4 og 4.2.
- Datatilsynet: Vejledning om databeskyttelsesrådgivere: afsnit 5.3 om rådgivning om konsekvensanalyser.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Dataansvarlig: er det en person eller virksomheden? · Samlet risikoliste for ledelsen
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
