När behövs en konsekvensbedömning?

Om det är sannolikt att en planerad behandling av personuppgifter leder till hög risk för de registrerades fri- och rättigheter behöver universitetet göra en så kallad konsekvensbedömning.

En förteckning över behandlingar som kräver en konsekvensbedömning finns på Integritetsskyddsmyndighetens webbplats Förteckning över när en konsekvensbedömning ska göras - Integritetsskyddsmyndigheten (imy.se) Förteckningen är inte uttömmande. Vid osäkerhet om en konsekvensbedömning behövs så kan dataskyddsombudet kontaktas för vägledning.

Vad syftar en konsekvensbedömning till?

En konsekvensbedömning hjälper universitetet att se till att kraven i dataskyddsförordningen är uppfyllda. Den är också ett sätt att visa tillsynsmyndigheten att förordningen följs.  

En konsekvensbedömning ger också universitetet förståelse för personuppgiftsbehandlingens konsekvenser och risker och kan vara till hjälp vid bedömningen av vilka säkerhetsåtgärder som behövs eller vilka tekniska lösningar som bör väljas.

Att ta ställning till sådana frågor i ett tidigt skede minskar också risken för att universitetet påbörjar en behandling som senare måste förändras på grund av att den inte fullt ut möter dataskyddsförordningens krav.

Hur genomförs en konsekvensbedömning?

Arbetet med en konsekvensbedömning bör påbörjas så fort det är praktiskt möjligt och uppdateras i takt med att behandlingens olika delar fastställs. Genom att använda konsekvensbedömningen som ett verktyg i planeringen kan det också bli lättare att fatta rätt beslut i frågor som är viktiga ur ett integritetsperspektiv, till exempel

• hur många uppgifter som ska samlas in
• med vilken rättslig grund
• för vilka ändamål uppgifterna får behandlas

Dataskyddsombudet tillhandahåller en mall för att genomföra en konsekvensbedömning, lämnar råd under processens gång och övervakar genomförandet av konsekvensbedömningen.

Betrakta inte konsekvensbedömningen som en engångsföreteelse, utan som en pågående process som behöver omprövas och uppdateras kontinuerligt. Då blir det enklare att uppmärksamma och införliva integritetsaspekten i personuppgiftsbehandlingens alla delar.

Mer information

Du kan läsa mer om konsekvensbedömning på Integritetsskyddsmyndighetens webbplats Konsekvensbedömningar och förhandssamråd - Integritetsskyddsmyndigheten (imy.se).