Företag kan behöva genomföra och dokumentera en konsekvensbedömning före behandling av personuppgifter vid marknadsföring för att uppfylla reglerna i GDPR. Dessutom finns det fler stationer där företag kan behöva göra en konsekvensbedömning. Reglerna kring konsekvensbedömningar står reglerade i artikel 35 i EU:s allmänna dataskyddsförordning, även kallad för GDPR.
När behöver företag göra en konsekvensbedömning före behandling av personuppgifter vid marknadsföring?
Företag behöver göra en konsekvensbedömning före behandling av personuppgifter vid marknadsföring i exempelvis följande situationer:
- Lokaliseringsuppgifter: Om ett företag använder lokaliseringsuppgifter från sina kunder, såsom att hämta in dem från en mobilapplikation för att därefter rikta marknadsföring till kunden ifråga. Då ska företaget göra en konsekvensbedömning före behandlingen. Detsamma gäller om lokaliseringsuppgifterna är tänkta att bli använda för att planera företagets marknadsföringsstrategier.
- Profilering genom uppgifter från sociala medier: Om ett företag inhämtar uppgifter från sociala medier för att profilera individer, för att därefter skicka riktad marknadsföring till vissa grupper. Vid sådana fall ska företaget göra en konsekvensbedömning innan denna behandlingen av personuppgifterna påbörjas.
- Skapar kundprofiler genom uppgifter från sökmotorn: Om ett företag driver en sökmotor och skapar kundprofiler av användarna av sökmotorn, för att kunna rikta anpassad marknadsföring till dem. Då ska företaget genomföra en konsekvensbedömning innan behandlingen sker.
Vad är en konsekvensbedömning?
GDPR kräver att företag gör en konsekvensbedömning innan de påbörjar vissa behandlingar av personuppgifter. Dessutom finns det tillfällen där företaget ska göra en konsekvensbedömning under en pågående behandling av personuppgifter. Syftet med en konsekvensbedömning är att analysera de potentiella konsekvenserna av behandlingen för den registrerade och hur riskerna kan förebyggas eller minimeras.
När det föreligger en hög risk för de registrerades fri- och rättigheter, ska företaget göra en konsekvensbedömning innan de påbörjar behandlingen. Om risken fortfarande är hög efter att företaget har gjort konsekvensbedömningen, ska företaget begära ett förhandssamråd med den nationella dataskyddsmyndigheten. I Sverige är det IMY (Integritetsskyddsmyndigheten).
Vi kan hjälpa er att genomföra och dokumentera en konsekvensbedömning i enlgihet med GDPR
Vi arbetar med att skriva och granska avtal till företag, inklusive GDPR-relaterade avtal och dokument. Till exempel att upprätta konsekvensbedömningar, integritetsmeddelande, personuppgiftsbiträdesavtal, olika rutiner m.m. Det finns två typer av konsekvensbedömningar enligt GDPR, nämligen konsekvensbedömning av dataskydd (DPIA) och konsekvensbedömning av dataöverföring till tredjeland (DTIA).
