DPIA – en vurdering som beskytter både mennesker og data

Men hva innebærer egentlig en DPIA? Og hvorfor er det viktig?

Mennesker i sentrum

Kjernen i en DPIA er å vurdere hvordan behandlingen av personopplysninger kan påvirke enkeltpersoners rettigheter og friheter. Det handler med andre ord om mennesker.

Hvis et firma for eksempel skal innføre ansiktsgjenkjenning i sine lokaler, bruke overvåkingskameraer med lydopptak, eller samle inn sensitive helseopplysninger via en app, kan dette få store konsekvenser for personvernet. Det er viktig å stille spørsmål som:

• Kan dette krenke noens privatliv?
• Er det fare for diskriminering eller feilaktig profilering?
• Kan informasjonen brukes til noe personen ikke har kontroll over?

Disse spørsmålene dreier seg i bunn og grunn om å verne om menneskerettigheter – retten til privatliv, ytringsfrihet, og retten til å bestemme over egne data.

Fra prinsipper til praksis: informasjonssikkerhet

Men en DPIA stopper ikke ved det prinsipielle. Når vurderingen er gjort, må tiltak settes inn for å redusere risiko. Her kommer informasjonssikkerhet inn i bildet.

Informasjonssikkerhet handler om å sikre at data er:

• Konfidensielle (bare tilgjengelig for de som har lov til det)
• Intakte (ikke endret eller manipulert)
• Tilgjengelige (tilgjengelig når man trenger dem)

I DPIA-prosessen må man spørre:

• Hvordan beskytter vi dataene mot uvedkommende?
• Hva gjør vi om det skjer et datainnbrudd?
• Hvordan sikrer vi at bare de rette personene har tilgang?

Teknologi og tiltak: IT-sikkerhet

Der informasjonssikkerhet er det overordnede målet, er IT-sikkerhet verktøykassen. Her handler det om tekniske løsninger:

• Kryptering av data
• Brannmurer og antivirus
• Passordbeskyttelse og tofaktorautentisering
• Sikkerhetskopier og rutiner ved hendelser

Disse tiltakene bidrar til at risikoene identifisert i DPIA-en faktisk reduseres. Det hjelper ikke å vite at noe er farlig, om man ikke gjør noe med det.

En helhetlig vurdering

En god DPIA dekker altså hele spennet – fra etikk og menneskerettigheter, til tekniske løsninger og systemdesign. Den starter med menneskene og slutter med teknologien, men begge deler må med for at personvernet skal ivaretas på en trygg og ansvarlig måte.

DPIA er ikke bare et krav i loven – det er en måte å vise at man tar ansvar, tenker helhetlig og respekterer folks rett til privatliv. Det handler ikke bare om data, men om tillit.

Diri-as-a-service

Trenger du hjelp til å håndtere dette på jevnlig basis? Det kan Diri bistå med! I Diri tilbyr vi ulike løsninger for rådgivning og bistand, og blant annet kan du få et abonnement på et antall timer med rådgivning per måned til en gunstig pris – som er en ypperlig løsning for jevnlig oppfølging av personvern i din bedrift. Ta konktakt med Jenny på jenny@diri.no hvis du vil vite mer!

‍