En konsekvensbedömning (DPIA - Data Protection Impact Assessment) är en obligatorisk riskbedömning enligt GDPR artikel 35 som krävs när personuppgiftsbehandling sannolikt medför hög risk för enskildas rättigheter och friheter.
Enligt GDPR artikel 35(7) ska en DPIA alltid innehålla:
- Beskrivning av behandlingen och dess syfte
- Bedömning av nödvändighet och proportionalitet
- Riskbedömning för de registrerades rättigheter och friheter
- Planerade skyddsåtgärder och hur de hanterar kvarstående risker
DPIA är ett centralt verktyg för privacy by design. Kravet på DPIA är specifikt för GDPR (artikel 35), men bedömningen kompletterar de riskbedömningskrav som finns i ramverk som ISO 27001 och NIS2. Terminologin skiljer sig mellan ramverken — läs mer om skillnaden mellan riskanalys och riskbedömning.
Vad är en DPIA?
En konsekvensbedömning granskar systematiskt hur personuppgifter samlas in, används, lagras och delas – med fokus på att behandlingen är laglig, proportionerlig och transparent.
Till skillnad från en registerförteckning (artikel 30), som dokumenterar vad ni behandlar, analyserar en DPIA riskerna med behandlingen och kräver aktiva åtgärder för att hantera dem.
En DPIA är inte ett soloarbete. Enligt GDPR artikel 35(2) är organisationer med dataskyddsombud (DPO) skyldiga att rådfråga DPO under processen. I praktiken involveras ofta IT-säkerhet, juridik och verksamhetsansvariga parallellt – eftersom en fullständig riskbild kräver teknisk, rättslig och operationell kompetens samlad.
En DPIA är heller inte ett engångsdokument. Den ska uppdateras när behandlingen förändras väsentligt, ny teknik införs eller nya risker identifieras. För kritiska system rekommenderas en översyn minst en gång per år.
När behöver du göra en DPIA?
Enligt GDPR artikel 35 krävs en konsekvensbedömning när din personuppgiftsbehandling sannolikt medför en hög risk för enskilda personers rättigheter och friheter.
Checklista - När krävs DPIA?
- Känsliga uppgifter: Behandling av hälso-data, biometri eller politiska åsikter i stor skala.
- Systematisk övervakning: Kamerabevakning eller spårning av anställda/kunder.
- Automatiserat beslutsfattande: Kreditbedömningar eller rekryteringsrobotar.
- Ny teknik: Användning av AI eller IoT där riskerna är svårbedömda.
- Sårbara registrerade: Behandling av uppgifter om barn eller anställda (beroendeställning).
Ett tydligt exempel är ett sjukhus som inför ett nytt journalsystem. Här behandlas känsliga uppgifter om patienters hälsa i stor skala - en typisk situation som kräver DPIA. Samma sak gäller när ett företag samlar in hälsodata via en träningsapp eller när en bank använder AI för att automatiskt bedöma kreditvärdighet.
System som fattar automatiserade beslut omfattas också av kravet. Det kan exempelvis handla om ett rekryteringssystem som sorterar kandidater baserat på olika parametrar.
Övervakning är ett annat område som ofta kräver konsekvensbedömning. Det gäller särskilt vid kamerabevakning i publika miljöer eller när man spårar människors beteende online.
Hur genomför du en konsekvensbedömning?
1. Beskriv behandlingen
Första steget är att tydligt dokumentera vad du planerar att göra. Beskriv hur personuppgifterna ska användas, vilka system som är involverade och vem som kommer att ha tillgång till dem.
Ett bra exempel är när ett företag inför ett nytt personalhanteringssystem, då behöver du kartlägga vilka uppgifter som samlas in, hur länge de sparas och vem som kan se dem.
2. Kontrollera om behandlingen är nödvändig och proportionerlig
Nästa steg är att kritiskt granska om du verkligen behöver all data du planerar att samla in. Detta är en central del av GDPR:s princip om dataminimering. Om du till exempel vill förbättra din rekryteringsprocess, behöver du verkligen spara personnummer på alla sökande?
Här gäller det att hitta rätt balans mellan verksamhetens legitima behov och enskildas integritet.
3. Identifiera och bedöm risker
Nu kommer den viktiga riskanalysen. Fundera över vad som kan gå fel och hur det skulle påverka de registrerade. Tänk konkret: Vad händer om personuppgifterna läcker ut? Vilka konsekvenser får det om data används på fel sätt?
Ett effektivt sätt att genomföra denna riskanalys är att använda en riskmatris där du bedömer både sannolikhet och konsekvens för varje risk.
Tänk dig en skala från 1-4 för både sannolikhet och konsekvens:
Sannolikhet:
- Osannolikt (Kan inträffa en gång per år)
- Möjligt (Kan inträffa varje kvartal)
- Sannolikt (Kan inträffa varje månad)
- Mycket sannolikt (Kan inträffa varje vecka)
Konsekvens:
- Försumbar (Minimal påverkan på enskilda)
- Måttlig (Viss påverkan på enskildas integritet)
- Betydande (Allvarlig påverkan på enskilda)
- Kritisk (Omfattande skada för enskilda)
Efter att ha bedömt sannolikhet och konsekvens kan du bestämma den totala risknivån. Detta gör du genom att multiplicera värdena för sannolikhet och konsekvens.
Vanligtvis vill du planera konkreta åtgärder för varje risk med en risknivå över 4, och därefter prioritera dem efter dess risknivå.
4. Bestäm skyddsåtgärder
Sista steget är att identifiera och implementera konkreta åtgärder för att hantera de risker du identifierat. Detta är avgörande för att visa att dataskyddsförordningen efterlevs och att ni arbetar enligt privacy by design.
Skyddsåtgärder kan vara både tekniska och organisatoriska:
- Kryptera känslig information i vila och under överföring
- Införa stark autentisering (tvåfaktor eller MFA)
- Implementera åtkomstkontroller enligt minsta-behörighets-principen
- Skapa tydliga rutiner för datahantering och incidenthantering
- Utbilda personal regelbundet i dataskydd
- Genomföra regelbundna säkerhetsgranskningar
Varje åtgärd ska vara konkret, dokumenterad och mätbar så att du senare kan utvärdera om den fungerar som tänkt. För organisationer som arbetar med ISO 27001 eller NIS2 kan många av dessa åtgärder integreras med befintliga säkerhetsramverk.
Vill du få en snabb överblick av er GDPR-efterlevnad i stort, innan du dyker ner i enskilda behandlingar, kan vår kostnadsfria GDPR-bedömning vara en bra startpunkt.
Verktyg för DPIA: mall eller system?
De flesta börjar i ett dokument och märker först efter ett par bedömningar var det tar emot. Valet står sällan mellan bra och dåligt, utan mellan tre nivåer som passar olika lägen.
Mall i Word eller Excel fungerar för den som gör någon enstaka DPIA per år. IMY har en mall att utgå från, och franska CNIL släpper ett gratisverktyg (PIA) som tar er igenom artikel 35-strukturen. Nackdelen visar sig när bedömningen ska uppdateras: ingen versionshistorik, ingen påminnelse om årlig översyn, och kopplingen till registerförteckningen finns bara i någons huvud.
Dedikerat dataskyddsverktyg bygger hela flödet runt registerförteckningen enligt artikel 30. Ni ser vilka behandlingar som kräver en bedömning, och GDPR-dokumentationen hänger ihop. Passar den som har dataskydd som sin enda större efterlevnadsfråga.
Bredare GRC-plattform är rimligt när DPIA är en av flera bedömningar ni gör. En högriskbehandling är sällan isolerad: den körs i ett system, hos ett biträde, och skyddas av åtgärder som ofta redan finns i ert ISO 27001- eller NIS2-arbete. Hanterar ni dataskyddsriskerna separat får ni två riskbilder att hålla synkroniserade manuellt.
Så fungerar det i ChainSec: ni för in behandlingen i registerförteckningen med ändamål, rättslig grund per informationsmängd, lagringstid och gallringsprincip, mottagare, eventuell tredjelandsöverföring och säkerhetsåtgärder — alltså det artikel 30 kräver. Rollen sätts som personuppgiftsansvarig, gemensamt ansvarig eller biträde, och behandlingen kopplas till de leverantörer som är inblandade. Därifrån bedömer ni riskerna för de registrerade i riskmatrisen och kopplar skyddsåtgärder med ansvarig och deadline.
Varje behandling har ett datum för nästa översyn, och registret visar vilka som är aktuella, närmar sig sitt datum eller är försenade. Det är oftast där DPIA-arbetet fallerar i praktiken — inte i den första bedömningen, utan i uppföljningen. För GDPR finns dessutom ett färdigt kontrollbibliotek med kontroller för att identifiera vilka behandlingar som kräver en DPIA och för att dokumentera de genomförda.
Det ni inte får är en färdig DPIA-blankett som genererar själva dokumentet. Vill ni ha ett verktyg som är byggt runt just GDPR-dokumentation och inget annat är ett dedikerat dataskyddsverktyg ett rimligare val.
Vad ni bör kräva av verktyget
Oavsett nivå är det fyra saker som avgör om verktyget håller över tid:
- Koppling till registerförteckningen — så att ni ser vilka behandlingar som faktiskt kräver en DPIA, inte bara vilka ni råkat komma på
- Versionshantering — en DPIA är ett levande dokument som ska kunna visas upp i den version som gällde vid ett givet tillfälle
- Påminnelser om översyn — kraven gäller så länge behandlingen pågår, och det är översynen som oftast glöms bort
- Spårbarhet från risk till åtgärd — att kunna visa vilken skyddsåtgärd som hanterar vilken risk, och vem som äger den
Vanliga frågor om konsekvensbedömning
Vem är ansvarig för att genomföra en DPIA?
Personuppgiftsansvarig har det juridiska ansvaret. I praktiken leds arbetet ofta av dataskyddsombud (DPO) tillsammans med IT-säkerhet, juridik och berörda verksamhetsansvariga.
Hur ofta behöver man uppdatera en DPIA?
DPIA ska uppdateras när behandlingen förändras väsentligt, när nya risker identifieras, eller när ny teknik införs. För kritiska system rekommenderas översyn minst årligen. Även förändringar hos personuppgiftsbiträden kan kräva uppdatering.
Behöver man alltid konsultera IMY innan man startar behandlingen?
Nej, endast om din DPIA visar att det finns kvarstående höga risker som inte kan hanteras med rimliga åtgärder. I sådana fall krävs en så kallad förhandskonsultation med IMY enligt GDPR artikel 36 innan behandlingen får påbörjas.
Vad händer om man inte gör DPIA när det krävs?
Utebliven obligatorisk DPIA kan leda till sanktionsavgifter från IMY. Viktigare är de faktiska riskerna: utan DPIA missar ni sårbarheter som kan leda till personuppgiftsincidenter, förlorat förtroende och skada för registrerade personer.
Vilka verktyg finns för att genomföra en DPIA?
Det finns tre nivåer: mall i Word eller Excel för enstaka bedömningar, dedikerade dataskyddsverktyg som bygger flödet runt registerförteckningen, och bredare GRC-plattformar när DPIA är en av flera bedömningar ni gör. Kräv fyra saker oavsett val: koppling till registerförteckningen enligt artikel 30, versionshantering, bevakning av när behandlingar ska ses över, och spårbarhet från risk till åtgärd med utpekad ansvarig.
Kan man använda samma DPIA för flera liknande behandlingar?
Ja, enligt GDPR artikel 35.1 kan en enda bedömning omfatta flera liknande behandlingar som medför liknande höga risker. Detta kallas för en generisk DPIA. Det kan till exempel vara användbart om ni implementerar samma typ av system på flera avdelningar eller kontor.
