Det finns vägledande kriterier för när företag behöver göra konsekvensbedömning innan en behandling av personuppgifter sker. Även fast ett företag inte behöver göra en konsekvensbedömning enligt GDPR vid en viss behandling, är det tillåtet att göra det frivilligt. Det kan vara bättre att göra lite för mycket istället för att missa något. Företag som missar att göra en konsekvensbedömning, kan få en sanktionsavgift som påföljd. När det medför en stor risk för individer vars personuppgifter blir behandlade, gällande dennes mänskliga rättigheter och friheter, ska företaget göra en konsekvensbedömning. Ett praktiskt exempel där det är vanligt att ett företag ska behöva göra en konsekvensbedömning är om en ny teknik blir lanserad och använd.
Kriterier när företag behöver göra konsekvensbedömning enligt GDPR
- När företag utvärderar personer genom att exempelvis registrera den ekonomiska situationen, intressen, beteende eller på något annat sätt utför en profilering, ska de göra en konsekvensbedömning enligt första kriteriet för att avgöra om det medför en hög risk.
- Om ett företag skapar något som innebär automatiserade beslut som har betydelse för den individ vars personuppgifter blir behandlade. Exempelvis om det på något sätt resulterar i diskriminering för individen.
- Företag som systematiskt eller regelbundet övervakar enskilda genom behandlingen. Om övervakningen sker på en allmän plats är det extra allvarligt. Det är viktigt att tänka på att när en övervakning avser känsliga personuppgifter eller integritetskänsliga uppgifter, är det extra allvarligt. Exempelvis ett sjukhus som behandlar uppgifter om hälsa i stor omfattning.
- Om personuppgifter blir lagrade i stor omfattning, kan företaget också behöva göra en konsekvensbedömning. Som sagt kan företag göra en konsekvensbedömning även fast de inte uppfyller något av kriterierna är beskrivna ovan. De utgör enbart riktlinjer för att personuppgiftsansvariga enklare ska kunna bedöma om hög risk för registrerades mänskliga rättigheter och friheter föreligger.
Observera att om företaget vill begära ett förhandssamråd med IMY, måste företaget eller eventuellt dataskyddsombud göra en konsekvensbedömning innan.
