Information om forordningen

Konsekvensanalyser

Forordningen stiller et nyt krav om, at kommunerne i særlige situationer skal sikre sig, at der bliver udarbejdet de såkaldte konsekvensanalyser af deres databehandlinger (data protection impact assessments, DPIA'er).

Konsekvensanalyserne skal udarbejdes, når der er tale om behandlinger, som er særligt risikobetonede, og dette skal ske før, behandlingen af personoplysningerne starter.

Kravet gælder ikke eksisterende behandlinger, som er blevet anmeldt til Datatilsynet efter de nu ophævede regler i persondatalovens kapitel 12.

For nye, særligt risikobetonede behandlingsaktiviteter skal der heller ikke altid udarbejdes konsekvensanalyser. Dette er ikke tilfældet, hvis der allerede er udarbejdet en generel konsekvensanalyse i forbindelse med udarbejdelsen af den lovgivning, der ligger til grund for behandlingerne.

Flere kommuner kan gå sammen om at få udarbejdet én fælles konsekvensanalyse for et givent nyt system, fx via KOMBIT. Kommunernes leverandør skal hjælpe med at udarbejde analysen.

Vejledning om konsekvensanalyser

Justitsministeriet og Datatilsynet har med bidrag fra KL udarbejdet en vejledning om konsekvensanalyser. Vejledningen beskriver nærmere, hvornår der skal udarbejdes konsekvensanalyser og, hvad analyserne skal indeholde:

Hent vejledning om konsekvensanalyser (pdf).

Behandlingsaktiviteter, der er underlagt kravet om konsekvensanalyser

Datatilsynet har den 28. januar 2019 offentliggjort en liste over, hvilke behandlingsaktiviteter, der i hvert fald kræver, at der udarbejdes en konsekvensanalyse.

Hent Datatilsynets liste (pdf).

Listen skal læses i sammenhæng med Artikel 29-gruppens (nu Det Europæiske Databeskyttelses Råds) retningslinjer for konsekvensanalyser, WP248.

Hent WP248 her (pdf).