När krävs en DPIA?
En DPIA krävs när en typ av behandling sannolikt leder till hög risk för enskilda personers rättigheter och friheter. Det följer av artikel 35 i dataskyddsförordningen (GDPR), som särskilt nämner användning av ny teknik. Bedömningen ska göras innan behandlingen börjar, och ansvaret ligger på den personuppgiftsansvariga. Förkortningen står för data protection impact assessment, i lagtexten konsekvensbedömning avseende dataskydd. Texten beskriver reglerna som de gällde i november 2026. Kommissionens förslag till ändringar i GDPR var då inte antaget.
Artikel 35.3 pekar ut tre fall där den särskilt krävs:
- systematisk och omfattande bedömning av personliga aspekter genom automatisk behandling, som leder till beslut med rättsliga eller liknande betydande följder
- behandling i stor omfattning av känsliga personuppgifter eller uppgifter om brott
- systematisk övervakning av en allmän plats i stor omfattning
IMY har en förteckning med nio kriterier. Uppfyller behandlingen minst två av dem ska en konsekvensbedömning som huvudregel göras. Bland kriterierna finns ny teknik, behandling i stor omfattning, känsliga personuppgifter och uppgifter om personer i underläge eller beroendeställning, till exempel anställda.
Behövs en DPIA när företaget inför ett AI-verktyg?
Det beror på vad verktyget ska göra med personuppgifter. IMY skriver i rapporten GDPR vid användning av generativ AI att analysen är densamma som för annan personuppgiftsbehandling och måste göras från fall till fall. Ny teknik, personuppgifter i stor omfattning, känsliga personuppgifter och automatiserat beslutsfattande talar enligt IMY för en konsekvensbedömning. Rapporten är skriven för offentlig förvaltning men är enligt IMY i huvudsak vägledande även för privata verksamheter.
Ett verktyg som förbättrar texter utan personuppgifter berörs inte av GDPR. Ett verktyg som sorterar jobbansökningar eller analyserar inspelade kundsamtal kan däremot uppfylla flera kriterier samtidigt.
Vad ska en DPIA innehålla?
Artikel 35.7 anger vad som minst ska finnas med:
- en systematisk beskrivning av behandlingen och dess syften
- en bedömning av om behandlingen är nödvändig och proportionerlig
- en bedömning av riskerna för de registrerades rättigheter och friheter
- de åtgärder som planeras för att hantera riskerna
Visar bedömningen att risken skulle bli hög utan riskminskande åtgärder, ska den personuppgiftsansvariga enligt artikel 36 samråda med tillsynsmyndigheten, i Sverige IMY, före behandlingen. Leverantören av verktyget är ofta personuppgiftsbiträde och ska då enligt artikel 28.3 f bistå den ansvariga i arbetet.
En rimlig rutin är att företagets AI-policy anger vem som avgör om ett nytt verktyg kräver en DPIA. Verktyg som börjar användas utan den prövningen beskriver vi i guiden om skugg-AI.
Publicerad