Når må dere gjøre en DPIA?

For å gjøre dette konkret kan vi se for oss en rørleggerbedrift på tolv ansatte som vurderer å montere GPS i servicebilene. Driftslederen vil se hvor montørene befinner seg, slik at den som er nærmest kan sendes ut når en kunde ringer om vannlekkasje. Leverandøren har en ferdig løsning som kan være på plass allerede neste uke. Driftslederen har likevel fått med seg at ny teknologi ofte krever en DPIA, og før GPS-ene kobles til, vil han finne ut hva som er riktig framgangsmåte.

Hva er en DPIA?

En DPIA er en skriftlig vurdering av hvilken risiko en løsning gir for menneskene opplysningene handler om, samt hva som skal til for å redusere den. I vår case betyr det at bedriften må se på hvilke opplysninger GPS-en registrerer om montørene, hva som kan gå galt og hvilke tiltak som kan redusere risikoen før løsningen tas i bruk. Forkortelsen står for «data protection impact assessment», på norsk vurdering av personvernkonsekvenser.

Kravet står i artikkel 35 i personvernforordningen, som gjelder som norsk lov gjennom EØS-avtalen samt personopplysningsloven. Forordningen har to formål. Den skal beskytte menneskers personvern, samtidig som den skal gjøre det mulig å bruke og utveksle personopplysninger. DPIA er et av verktøyene som er laget for å få til begge deler. Brytes reglene, for eksempel ved at en påkrevd DPIA ikke er gjort, kan Datatilsynet gi overtredelsesgebyr.

Kravet gjelder alle personopplysninger, altså alt som kan knyttes til en person, og ikke bare sensitive opplysninger som helse. GPS-posisjonen til en montør er derfor en personopplysning. De sensitive opplysningene, som loven kaller særlige kategorier, er likevel viktige i vurderingen fordi de øker risikoen for negative følger for den enkelte.

Hva kan gå galt?

De negative følgene det er snakk om, rammer menneskene opplysningene stammer fra, og ikke bedriften. I vår case er det altså montørene vi vurderer risikoen for. Innledningen til personvernforordningen, også kalt fortalen, gir eksempler på hva slike følger kan være.

Trekker vi dette inn i vår case, kan informasjonen som viser hvor montørene er i arbeidstiden, kanskje også vise hvor de spiser lunsj eller følge bilen etter arbeidstid. Konsekvensen kan være at opplysningene brukes på måter de ansatte ikke er klar over, for eksempel i en personalsak, eller at de kommer på avveie. Det er her en DPIA kommer inn. Den skal få fram slike konsekvenser før løsningen tas i bruk, slik at de ansatte er beskyttet fra første dag. Det er dessuten langt enklere å endre en løsning før den er innført enn etterpå.

For å vite om risikoen er høy, må løsningen vurderes. Det første trinnet er en såkalt screening, der dere finner ut om løsningen krever en DPIA.

De europeiske kriteriene og Datatilsynets liste

I screeningen kan dere bruke to hjelpemidler som henger sammen. Det første er ni kriterier som personvernmyndighetene i Europa har utviklet sammen, og som Datatilsynet har publisert på norsk. De beskriver kjennetegn som øker risikoen for negative følger, og brukes til å vurdere om risikoen er høy.

Treffer løsningen to eller flere av kriteriene, antas risikoen å være høy, og da krever løsningen i de fleste tilfeller en DPIA. Ett kriterium kan også være nok hvis risikoen likevel antas å være høy. I vår case treffer servicebilene tre av kriteriene. GPS-en følger montørene over tid, og posisjon regnes som en svært personlig opplysning. I tillegg er montørene ansatte, og maktforholdet mellom arbeidsgiver og ansatt gjør det vanskelig for dem å si nei.

Datatilsynets liste er det andre hjelpemiddelet, og den består av 14 punkter. Åtte av dem krever alltid en DPIA, mens de seks andre krever en DPIA når løsningen i tillegg treffer minst ett av de europeiske kriteriene. Lista gir derfor mindre rom for vurdering, fordi et treff på den betyr at bedriften må gjøre en DPIA.

GPS-en som rørleggerbedriften vurderer, treffer to av punktene, og systematisk overvåking av ansatte står blant de åtte som alltid krever en DPIA. Sammen med de tre treffene blant de europeiske kriteriene peker alt i samme retning, og bedriften må gjøre en DPIA.

Samme løsning, ulike svar

Siden de europeiske kriteriene krever vurdering, kan to bedrifter komme fram til ulike svar om den samme løsningen. Risiko er ikke et objektivt mål som kan leses av direkte. Den er en vurdering av hvor sannsynlig det er at noe går galt, og hvor alvorlig det blir. I tillegg kan den samme løsningen brukes på helt ulike måter. Én rørleggerbedrift lagrer posisjonen i et år og kobler den mot timelistene, og der kan risikoen bli høy. En annen viser bare hvor bilene er mens driftslederen fordeler oppdrag, og sletter posisjonen etter et døgn, og der kan risikoen være lav.

Det som teller, er konsekvensene for menneskene opplysningene handler om, og ikke bare hvilken kategori løsningen hører til. Den ene bedriften kan derfor konkludere med at risikoen ikke er høy, mens den andre kommer fram til at den er det. Uansett konklusjon skal det ligge en dokumentert begrunnelse til grunn, og veilederen sier uttrykkelig at bedriften bør begrunne og dokumentere vurderingen når den treffer to kriterier uten å gjøre en DPIA.

Kravet til dokumentasjon henger sammen med grunnprinsippet om ansvarlighet i forordningen. Det er ikke nok at virksomheten følger reglene, den må også kunne vise at den ivaretar personvernet. For bedriften betyr det at vurderingene må være skrevet ned, slik at den kan vise at den holder seg innenfor regelverket.

Slik går dere fram

Screeningen følger tre spørsmål i fast rekkefølge.

For rørleggerbedriften stopper screeningen ved første spørsmål, og DPIA-en må være ferdig før bilene får GPS. Etter artikkel 35 skal DPIA-en beskrive løsningen og formålet med den, vurdere om løsningen er nødvendig og står i forhold til formålet, vurdere risikoen for de ansatte og beskrive tiltakene som skal redusere risikoen.

Tiltakene kan ligne det den andre rørleggerbedriften gjorde, der posisjonen bare vises mens oppdrag fordeles og slettes etter et døgn. En DPIA er altså ikke et nei til GPS, men en plan for hvordan løsningen kan brukes forsvarlig. Viser vurderingen derimot at risikoen fortsatt er for høy etter tiltakene, skal bedriften drøfte saken med Datatilsynet før løsningen tas i bruk, slik artikkel 36 krever. Er dere usikre etter screeningen, anbefaler Datatilsynet å gjøre en DPIA, fordi det er bedre å gjøre en DPIA dere ikke trengte enn å mangle en dere skulle hatt.

For at vurderingen skal bli riktig, fra screening til en eventuell DPIA, må den som vurderer forstå hvordan løsningen virker alene og hvordan den fungerer i samspill med de andre systemene i bedriften. Uten den forståelsen er det vanskelig å se hva som kan gå galt, og hvilke tiltak som vil virke.

Ansvaret for vurderingen ligger hos bedriften selv, mens beslutningsgrunnlaget er noe dere kan få bistand til, og det er her jeg kan bidra. Jeg kan hjelpe dere med å forstå hva løsningen gjør med personopplysningene, hvordan den påvirker systemene dere allerede har, og om det finnes alternativer som kan passe bedre. KI-verktøy er et godt eksempel, fordi de ofte får tilgang til mange av bedriftens systemer og data på en gang. Les mer om DPIA og hvordan jeg kan hjelpe.