DPIA-veileder

Vurdering av systematisk behandling:

• Er behandlingen regelmessig og planlagt?
• Følger behandlingen en bestemt metodikk eller system?
• Er det en del av en strategisk tilnærming?

Eksempel: Kontinuerlig overvåking av ansattes databruk eller systematisk innsamling av kundedata for profilering.

Vurdering av maktubalanse:

• Er den registrerte i et avhengighetsforhold?
• Er det praktisk mulig å nekte samtykke?
• Har den registrerte reell valgfrihet?

Eksempel: Arbeidsgiver-arbeidstaker forhold, eller offentlige tjenester uten alternativer.

Sensitive opplysninger inkluderer:

• Helseopplysninger
• Etnisk opprinnelse
• Politisk oppfatning
• Religion
• Fagforeningsmedlemskap
• Genetiske/biometriske data
• Seksuelle forhold
• Straffedommer/lovovertredelser

Vurdering av ny teknologi:

• Er teknologien ny i markedet?
• Er dette en ny bruk av eksisterende teknologi?
• Er personvernkonsekvensene kjente?
• Finnes det etablert beste praksis?

Eksempel: Bruk av AI for ansiktsgjenkjenning eller nye IoT-enheter for personsporing.

Vurdering av stor skala:

• Antall registrerte som er berørt
• Mengden data som behandles
• Varigheten av behandlingen
• Geografisk omfang av behandlingen

Eksempel: Et sykehus' behandling av pasientdata anses som stor skala, mens en enkelt leges behandling ikke gjør det.

Vurdering av internasjonal rekkevidde:

• Overføring av data til land utenfor EU/EØS
• Bruk av skytjenester med servere i flere land
• Behandling som påvirker personer i flere land

Vurdering av konfidensialitet:

• Kommunikasjon med helsepersonell eller advokat
• Data fra arbeidsforhold eller personalsaker
• Finansiell informasjon eller kredittopplysninger

Eksempler på sårbare grupper:

• Barn og mindreårige
• Pasienter og personer med helseproblemer
• Eldre og personer med nedsatt funksjonsevne
• Asylsøkere og personer i vanskelige livssituasjoner

Vurdering av kontrollformål:

• Er formålet å overvåke eller kontrollere enkeltpersoner?
• Brukes data til å ta beslutninger om personer?
• Kan behandlingen ha negative konsekvenser for enkeltpersoner?

Eksempel: Kredittsjekk, bakgrunnssjekk, eller overvåking av ansattes aktivitet.

Vurdering av automatiserte beslutninger:

• Tas beslutninger automatisk uten menneskelig involvering?
• Har beslutningene rettslig virkning?
• Kan beslutningene påvirke personer betydelig?
• Er det mulig å bestride beslutningene?

Eksempel: Automatisk vurdering av lånesøknader eller automatisk screening av jobbsøkere.