Vad är DPIA?

DPIA står för Data Protection Impact Assessment, på svenska konsekvensbedömning avseende dataskydd. Tänk dig att du ska bygga ett nytt rum i huset som drar mycket el. Innan du börjar spikar du upp en ritning och räknar ut om säkringarna klarar av det, så att det inte börjar brinna. En DPIA är precis samma sak fast för personuppgifter: innan du drar igång något som kan vara riskabelt för människors integritet, sätter du dig ner och kartlägger vad som kan gå fel och hur du undviker det.

Enligt GDPR (EU:s dataskyddsförordning) artikel 35 är en DPIA ett krav när en behandling sannolikt innebär en hög risk för människors fri- och rättigheter. Det kan handla om storskalig kameraövervakning, kartläggning av kunders beteende, eller behandling av känsliga uppgifter som hälsa. Du beskriver vad du tänker göra, varför, vilka risker som finns och vilka åtgärder du sätter in för att minska dem.

Det viktiga att förstå är att en DPIA inte är en engångsblankett du fyller i och glömmer. Det är ett levande dokument som du uppdaterar när behandlingen förändras. Den visar också att du har tänkt igenom saken, vilket är guld värt om Integritetsskyddsmyndigheten (IMY) någon gång knackar på.

Varför är DPIA viktigt för ditt företag?

En DPIA skyddar dig på två sätt. Dels tvingar den dig att upptäcka integritetsproblem innan de blir dyra läckor eller klagomål. Dels är den ett bevis på att ditt företag tar dataskydd på allvar, vilket bygger förtroende hos både kunder och myndigheter.

Struntar du i en DPIA när den faktiskt krävs, kan det i sig leda till sanktionsavgifter. Att göra den ordentligt är alltså både en försäkring mot böter och ett sätt att bygga en trygg produkt från start i stället för att lappa i efterhand.

DPIA i praktiken

Säg att du driver en svensk vårdcentral som vill lansera en app där patienter loggar sina symtom. Det är känsliga hälsouppgifter i stor skala, alltså exakt en sådan situation där en DPIA behövs. Ni går igenom hur uppgifterna lagras, vem som kommer åt dem och vad som händer vid ett dataintrång, och bestämmer att all data ska krypteras och att åtkomst kräver stark inloggning.

På ZORC bygger vi in den här typen av bedömningar redan i arkitekturen, så att integriteten sitter i grunden och inte klistras på efteråt.