Logg innBeskriv jobben

Personvernguiden / Del III — Etterlevelse i praksis

Vurdering av personvernkonsekvenser (DPIA)

Når en virksomhet må gjennomføre en vurdering av personvernkonsekvenser etter artikkel 35, hva vurderingen minst skal inneholde, og når restrisikoen utløser plikt til forhåndsdrøftelse med Datatilsynet etter artikkel 36.

Byggsikt Personvern Status: Publisert 1 284 ord · 6 min lesing

Rettsdogmatisk metode · verifisert kildeliste

En vurdering av personvernkonsekvenser — ofte kalt DPIA, fra engelsk data protection impact assessment — er en skriftlig analyse av hva en behandling kan gjøre med rettighetene til dem opplysningene gjelder, og hva virksomheten gjør for å begrense risikoen. Kapitlet svarer på når den er påkrevd, hva den må inneholde, og når Datatilsynet må kobles inn før behandlingen.

Hva loven krever

Når en DPIA er påkrevd

Hovedregelen står i artikkel 35 nr. 1: «Dersom det er sannsynlig at en type behandling, særlig ved bruk av ny teknologi og idet det tas hensyn til behandlingens art, omfang, formål og sammenhengen den utføres i, vil medføre en høy risiko for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige før behandlingen foreta en vurdering av hvilke konsekvenser den planlagte behandlingen vil ha for personopplysningsvernet.»1

Tre ting følger av ordlyden:

  1. Terskelen er høy risiko, ikke enhver risiko.
  2. Vurderingen skal gjøres før behandlingen.
  3. Én vurdering kan dekke flere behandlinger: «En vurdering kan omfatte flere lignende behandlingsaktiviteter som innebærer tilsvarende høye risikoer.»1

Artikkel 35 nr. 3 nevner tre tilfeller der en DPIA «skal særlig være nødvendig»2:

  • a. «en systematisk og omfattende vurdering av personlige aspekter ved fysiske personer som er basert på automatisert behandling, herunder profilering, og som danner grunnlag for avgjørelser som har rettsvirkning for den fysiske personen eller på lignende måte i betydelig grad påvirker den fysiske personen»2
  • b. «behandling i stor skala av særlige kategorier av opplysninger som nevnt i artikkel 9 nr. 1, eller av personopplysninger om straffedommer og lovovertredelser som nevnt i artikkel 10»2
  • c. «en systematisk overvåking i stor skala av et offentlig tilgjengelig område»2

Opplistingen i nr. 3 er eksempler. Datatilsynet sier det direkte: «Dette er ikke ment å være en uttømmende liste med eksempler.»3 I tillegg skal tilsynsmyndigheten «utarbeide og offentliggjøre en liste over hvilke typer behandlingsaktiviteter som omfattes av kravet»4.

Hva vurderingen minst skal inneholde

Artikkel 35 nr. 7 setter et minimum. Vurderingen skal inneholde:

BokstavKrav (ordlyd)
a«en systematisk beskrivelse av de planlagte behandlingsaktivitetene og formålene med behandlingen, herunder, dersom det er relevant, den berettigede interessen som forfølges av den behandlingsansvarlige»5
b«en vurdering av om behandlingsaktivitetene er nødvendige og står i et rimelig forhold til formålene»5
c«en vurdering av risikoene for de registrertes rettigheter og friheter»5
d«de planlagte tiltakene for å håndtere risikoene, herunder garantier, sikkerhetstiltak og mekanismer for å sikre vern av personopplysninger og for å påvise at denne forordning overholdes»5

Bokstav a og b overlapper med en interesseavveiing; se Interesseavveiing (LIA) i praksis.

Tre prosesskrav kommer i tillegg. Er det utpekt et personvernombud, skal den behandlingsansvarlige «rådføre seg med personvernombudet»6. Videre: «Dersom det er relevant, skal den behandlingsansvarlige innhente synspunkter på den planlagte behandlingen fra de registrerte eller deres representanter»7. Og vurderingen skal holdes ved like: «Ved behov skal den behandlingsansvarlige foreta en gjennomgåelse for å vurdere om behandlingen utføres i samsvar med vurderingen av personvernkonsekvenser, i det minste dersom risikoen som behandlingen medfører, endres.»8

Forhåndsdrøftelse (artikkel 36)

Vurderingen kan ende med at risikoen fortsatt er høy. Da gjelder artikkel 36 nr. 1: «Den behandlingsansvarlige skal rådføre seg med tilsynsmyndigheten før behandlingen dersom en vurdering av personvernkonsekvenser i henhold til artikkel 35 tilsier at behandlingen vil medføre en høy risiko dersom den behandlingsansvarlige ikke treffer tiltak for å redusere risikoen.»9

Mener tilsynet at behandlingen vil være i strid med forordningen, skal det gi skriftlige råd «innen en frist på opptil åtte uker fra mottak av anmodningen om drøftinger»10, og fristen «kan forlenges med seks uker»10. Den behandlingsansvarlige skal blant annet legge fram «formålene med og midlene for den planlagte behandlingen»11, «tiltakene og garantiene som er fastsatt for å verne de registrertes rettigheter og friheter»11 og «vurderingen av personvernkonsekvenser fastsatt i artikkel 35»11.

Vår vurdering: det avgjørende er risikoen som er igjen etter tiltakene, restrisikoen. Slik leser Datatilsynet bestemmelsen (se neste avsnitt).

Hva Datatilsynet sier

Datatilsynet beskriver en DPIA som en prosess som skal beskrive behandlingen, vurdere om den er nødvendig og proporsjonal, og fastlegge risikoreduserende tiltak 12.

Terskelvurderingen

Tilsynet anbefaler to trinn. Først: «Sjekk om den aktuelle behandlingen står på Datatilsynets liste over behandlingsaktiviteter som alltid krever vurdering.»13 Deretter vurderes risikoen ut fra kriteriene til Artikkel 29-gruppen (forløperen til Personvernrådet): «Artikkel 29-gruppen opererer med følgende ni kriterier for å få oversikt over behandlinger som krever en vurdering av personvernkonsekvenser på grunn av deres iboende høye risiko»14.

De ni kriteriene er, med tilsynets navn 15:

  1. Evaluering eller poengsetting
  2. Automatiske beslutninger med rettslig eller tilsvarende betydelig virkning
  3. Systematisk monitorering
  4. Særlige kategorier av personopplysninger eller opplysninger av svært personlig karakter
  5. Personopplysninger behandles i stor skala
  6. Matching eller sammenstilling av datasett
  7. Personopplysninger om sårbare registrerte
  8. Innovativ bruk eller anvendelse av ny teknologisk eller organisatorisk løsning
  9. Når behandlingen hindrer de registrerte i å utøve en rettighet eller gjøre bruk av en tjeneste eller en avtale

Tommelfingerregelen er to kriterier: «I de fleste situasjoner kan en behandlingsansvarlig anta at det skal gjøres en vurdering av personvernkonsekvenser dersom to av disse kriteriene er oppfylt.»16 Om sammenstilling sier tilsynet at den kan stamme fra behandlinger med ulike formål eller ulike behandlingsansvarlige «på en måte som overstiger den registrertes rimelige forventninger»17.

Ved tvil anbefaler tilsynet å gjennomføre vurderingen: «I de tilfellene der det er usikkert om det er nødvendig å gjennomføre en vurdering av personvernkonsekvenser eller ikke, anbefaler vi at det gjøres»18. Konkluderer man med at en DPIA ikke trengs, selv om kriterier er oppfylt, bør man «begrunne og dokumentere hvorfor en vurdering av personvernkonsekvenser ikke gjennomføres»19.

Hva vurderingen ikke er

  • Den er ikke en lovlighetsreparasjon: «Det er viktig å huske at å gjennomføre en DPIA ikke reparerer en ulovlig behandling av personopplysninger.»20
  • Den er ikke en sikkerhetsanalyse alene: «Sikkerhetstiltak vil ikke nødvendigvis redusere denne faren og en behandlingsansvarlig må i stedet finne risikoreduserende tiltak ved å endre på hvordan behandlingen skal utføres og hvordan rettighetene ivaretas.»21
  • Den er ikke et engangsdokument: «Vurderingen av personvernkonsekvenser skal være en kontinuerlig prosess, spesielt når behandlingen er dynamisk og endres løpende.»22

Ansvaret for godkjenningen ligger høyt: «I denne fasen har ledelsen eller styret den viktigste rollen.»23 Publisering er frivillig — «Det er ikke et rettslig krav å offentliggjøre vurderingen av personvernkonsekvenser.»24 — men tilsynet anbefaler å vurdere det 15.

Forhåndsdrøftelse i praksis

Tilsynet knytter plikten til restrisikoen: «Om en DPIA avslører en høy restrisiko, har den behandlingsansvarlige plikt til å be om en forhåndsdrøftelse med Datatilsynet før behandlingen starter (artikkel 36 nr. 1).»25 Et ønske om råd er ikke nok: «Dersom dere ønsker veiledning, innspill eller diskusjon rundt om dere tenker riktig eller gjør nødvendige vurderinger, vil det ikke kvalifisere til en forhåndsdrøftelse.»26 Uansett utfall skal vurderingen tas vare på: virksomheten har «plikt til å dokumentere og oppbevare vurderingen av personvernkonsekvenser, og om nødvendig oppdatere den»27.

Konsekvensvurderingen i praksis

En vurdering av personvernkonsekvenser skal beskrive den planlagte behandlingen, vurdere nødvendighet og forholdsmessighet, identifisere risikoen for de registrerte og beskrive tiltak for å håndtere den. Vurderingen skal gjøres før en behandling som sannsynligvis medfører høy risiko, starter. 28

Det er nødvendig å skille mellom identifisert risiko, planlagte tiltak og tiltak som faktisk virker. En lavere beregnet restrisiko kan ikke bygge på at en fremtidig protestordning, tilgangskontroll eller fjerning allerede er gjennomført. Vurderingen må gjenspeile den faktiske behandlingen og gjennomgås ved endret risiko. 29

En gjennomført konsekvensvurdering gjør ikke i seg selv behandlingen lovlig. Dersom høy risiko ikke kan reduseres med egnede tiltak, kan forhåndsdrøftelse med tilsynsmyndigheten være nødvendig etter artikkel 36. 30

For opplysninger om Byggsikts behandling og hvordan du bruker rettighetene dine, se personvernerklæringen.

Kilder

  • Datatilsynet — Når må man gjennomføre en vurdering av personvernkonsekvenser? 31
  • Datatilsynet — Hvem må ha personvernombud? 32
  • Prop. 139 L (2018–2019) 33
  • Personopplysningsloven med personvernforordningen (norsk EØS-tekst) 34
  • Datatilsynet: Veiledning om DPIA 12
  • Datatilsynet: Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider 15
  • Datatilsynet: Personvernombud 35

Noter

  1. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, ordrett sitat «art. 35 nr. 1». https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩ ↩
  2. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, ordrett sitat «art. 35 nr. 3». https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩ ↩ ↩ ↩
  3. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «ikke uttømmende». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  4. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, ordrett sitat «art. 35 nr. 4». https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩
  5. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, ordrett sitat «art. 35 nr. 7». https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩ ↩ ↩ ↩
  6. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, ordrett sitat «art. 35 nr. 2». https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩
  7. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, ordrett sitat «art. 35 nr. 9». https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩
  8. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, ordrett sitat «art. 35 nr. 11». https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩
  9. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, ordrett sitat «art. 36 nr. 1». https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩
  10. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, ordrett sitat «art. 36 nr. 2». https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩ ↩
  11. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, ordrett sitat «art. 36 nr. 3». https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩ ↩ ↩
  12. Datatilsynet — Veiledning om DPIA. https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/ · hentet 16.10.2026 · sha256 883e358ac671. ↩ ↩
  13. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «Datatilsynets liste». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  14. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «Artikkel 29-gruppens kriterier». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  15. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon). https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩ ↩ ↩
  16. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «to kriterier». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  17. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «matching». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  18. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «ved tvil». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  19. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «begrunne og dokumentere». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  20. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «reparerer ikke». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  21. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «sikkerhetstiltak er ikke nok». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  22. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «kontinuerlig prosess». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  23. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «ledelsen». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  24. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «offentliggjøring». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  25. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «forhåndsdrøftelse». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  26. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «veiledning er ikke forhåndsdrøftelse». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  27. Datatilsynet — Veiledning om vurdering av personvernkonsekvenser (DPIA), alle sider (utskriftsversjon), ordrett sitat «plikt til å dokumentere». https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/?print=true · hentet 16.10.2026 · sha256 af737e5f00a8. ↩
  28. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, art. 35. https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩
  29. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, art. 35 nr. 7 og 11. https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩
  30. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet, art. 36. https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩
  31. dt-dpia-liste. https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/nar-ma-man-gjennomfore-en-vurdering-av-personvernkonsekvenser/ · hentet 16.10.2026 · sha256 499c12667d3d. ↩
  32. dt-ombud-hvem. https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/personvernombud/hvem-ma-ha-personvernombud/ · hentet 16.10.2026 · sha256 61bfe874a4c6. ↩
  33. Prop. 139 L (2018–2019) Lov om behandling av opplysninger i kredittopplysningsvirksomhet (kredittopplysningsloven) — PDF, regjeringen.no. https://www.regjeringen.no/contentassets/376d9a106ece4740b7bf95dbad640bd4/no/pdfs/prp201820190139000dddpdfs.pdf · hentet 16.10.2026 · sha256 d0d46d404462. ↩
  34. Personopplysningsloven LOV-2018-06-15-38 med vedlegg: personvernforordningen (EU) 2016/679 i norsk EØS-tekst — hele dokumentet. https://lovdata.no/dokument/NL/lov/2018-06-15-38/* · hentet 16.10.2026 · sha256 145e97744948. ↩
  35. Datatilsynet — Personvernombud. https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/personvernombud/ · hentet 16.10.2026 · sha256 f1bf963479af. ↩

Endringslogg

  • Gjelder fra 28.08.2026 · veiledning om reglene, med lenke til personvernerklæringen

Errata

Se rettelser og meld eventuelle feil via errataprosedyren.

Siter som: Byggsikt Personvern, «Vurdering av personvernkonsekvenser (DPIA)», Personvernguiden, 28. august 2026, https://www.byggsikt.no/personvern/guide/del3-02-dpia/