text: Arbetsgruppen inrättades enligt

text: artikel 29 i direktiv 95/46/EG

text: . Den är ett oberoende rådgivande EU-organ i frågor rörande dataskydd och integritet. Dess uppgifter beskrivs i

text: artikel 30 i direktiv 95/46/EG

text: och

text: artikel 15 i direktiv 2002/58/EG

text: . Gruppens sekretariat finns hos direktorat C (Grundläggande rättigheter och rättsstatsprincipen) på Europeiska kommissionen, Generaldirektoratet för rättsliga frågor och konsumentfrågor, B–1049 Bryssel, Belgien, kontor MO59 05/35. Webbplats: http://ec.europa.eu/justice/data-protection/index_sv.htm

text: Den allmänna dataskyddsförordningen är relevant för Europeiska ekonomiska samarbetsområdet (EES) och kommer att vara tillämplig efter det att den har införlivats i EES-avtalet. Den allmänna dataskyddsförordningen granskas för närvarande i syfte att införlivas, sehttp://www.efta.int/eea-lex/32016R0679.

text: I samband med behandling av personuppgifter för bankändamål står det klart att detta omfattar många olika behandlingsverksamheter. För enkelhetens skull behandlas all behandling därför som ett enda ändamål. Detsamma gäller behandlingen för försäkringsändamål.

text: Det är också viktigt att tänka på att den allmänna dataskyddsförordningen föreskriver möjligheten till lokal tillsyn i speciella fall. Se skäl 127: ”Varje tillsynsmyndighet som inte agerar som ansvarig tillsynsmyndighet bör vara behörig att behandla lokala fall, om den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad i mer än en medlemsstat men ärendet för den specifika behandlingen endast avser behandling som utförs i en enda medlemsstat och endast omfattar registrerade i denna enda medlemsstat, till exempel om ärendet avser behandling av anställdas personuppgifter inom ramen för en medlemsstats specifika anställningsförhållanden.” Denna princip innebär att tillsynen av personuppgifter om anställda kan ligga på flera tillsynsmyndigheters ansvar, då behandlingen av personuppgifter har samband med lokala anställningsförhållanden.

publisher: Artikel 29-gruppen

title: Riktlinjer om fastställande av ansvarig tillsynsmyndighet för personuppgiftsansvariga eller personuppgiftsbiträden

serie: wp

text: 1. Att fastställa ansvarig tillsynsmyndighet: viktiga begrepp.

text: 1.1 ”Gränsöverskridande behandling av personuppgifter”

text: Det är relevant att fastställa en ansvarig tillsynsmyndighet endast i sådana fall där den personuppgiftsansvarige eller personuppgiftsbiträdet genomför gränsöverskridande behandling av personuppgifter. Enligt definitionen i

text: artikel 4.23 i den allmänna dataskyddsförordningen

text: utgör ”gränsöverskridande behandling” antingen

text: - behandling av personuppgifter som äger rum inom ramen för verksamhet vid verksamhetsställen i mer än en medlemsstat tillhörande en personuppgiftsansvarig eller ett personuppgiftsbiträde i unionen, när den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad i mer än en medlemsstat, eller

text: - behandling av personuppgifter som äger rum inom ramen för verksamhet vid ett enda verksamhetsställe tillhörande en personuppgiftsansvarig eller ett personuppgiftsbiträde i unionen men som i väsentlig grad påverkar eller sannolikt i väsentlig grad kommer att påverka registrerade i mer än en medlemsstat.

text: Detta innebär att om en organisation till exempel har verksamhetsställen i Frankrike och Rumänien och behandlar personuppgifter inom ramen för sin verksamhet, utgör detta gränsöverskridande behandling.

text: Alternativt kanske organisationen endast behandlar personuppgifter inom sitt verksamhetsställe i Frankrike. Om verksamheten i väsentlig grad påverkar – eller sannolikt i väsentlig grad kommer att påverka – de registrerade i både Frankrike och Rumänien, utgör dock även detta gränsöverskridande behandling.

text: 1.1.1 ”Påverka i väsentlig grad”

text: ”Påverka” eller ”i väsentlig grad” definieras inte i förordningen. Syftet med ordalydelsen var att säkerställa att definitionen av gränsöverskridande behandling inte ska omfatta all behandling om den bara har någon som helst påverkan och om den bara sker inom ett enda verksamhetsställe.

text: De mest relevanta och vanligaste betydelserna av det engelska ordet substantial (väsentlig) är bland annat (i översättning) ”stor mängd eller avsevärd storlek”, ”ansenlig”, ”av betydande storlek”, ”av gediget värde”, ”av verklig vikt”, ”stabil”, ”betydelsefull”, ”viktig” (Oxford English Dictionary).

text: De mest relevanta betydelserna av det engelska verbet affect (påverka) är (i översättning) ”att ha inflytande över” eller ”göra ett stort intryck på”. Det engelska substantivet effect (påverkan) betyder i sin tur bland annat (i översättning) ”ett resultat” eller ”en konsekvens” (Oxford English Dictionary). Av detta kan man dra slutsatsen att för att behandling av personuppgifter ska påverka någon måste den ha någon form av påverkan på dem. Behandling som inte i väsentlig grad påverkar enskilda personer omfattas inte av den andra delen av definitionen av gränsöverskridande behandling. Sådan behandling skulle dock omfattas av den första delen av definitionen om behandlingen av personuppgifter sker vid personuppgiftsansvarigas eller personuppgiftsbiträdenas verksamhetsställen i mer än en

text: medlemsstat, i det fall där den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerade i mer än en medlemsstat.

text: Behandling kan omfattas av den andra delen av definitionen om det är sannolikt att den kan ha en väsentlig påverkan, inte bara en faktisk väsentlig påverkan. Notera att ”sannolikt” inte innebär att det finns en avlägsen möjlighet till väsentlig påverkan. Det måste vara mer sannolikt än inte sannolikt att behandlingen har en väsentlig påverkan. Detta innebär å andra sidan att enskilda personer inte behöver påverkas rent konkret: det är tillräckligt att det är sannolikt att påverkan i väsentlig grad uppstår för att behandlingen ska omfattas av definitionen av gränsöverskridande behandling.

text: Det faktum att verksamheten i fråga kan omfatta behandling av ett antal, även ett stort antal, enskilda personers personuppgifter i flera medlemsstater, innebär inte nödvändigtvis att behandlingen har, eller sannolikt kan ha, en väsentlig påverkan. Behandling som inte har väsentlig påverkan utgör inte gränsöverskridande behandling enligt den andra delen av definitionen, oavsett hur många enskilda personer som påverkas.

text: Tillsynsmyndigheterna tolkar begreppet ”påverka i väsentlig grad” från fall till fall. De faktorer som övervägs inom ramen för behandlingen är typen av uppgifter, ändamålet med behandlingen och om behandlingen

text: o orsakar eller sannolikt kan orsaka skada, förlust eller känslomässigt lidande för enskilda personer, o har, eller sannolikt kan ha, en faktisk påverkan genom att den enskilda personens rättigheter begränsas eller han/hon förlorar en möjlighet, o påverkar, eller sannolikt kan påverka, den enskilda personens hälsa, välbefinnande eller trygghet, o påverkar, eller sannolikt kan påverka, den enskilda personens finansiella eller ekonomiska ställning eller situation, o utsätter den enskilda personen för diskriminering eller orättvis behandling, o omfattar analys av särskilda kategorier av personuppgifter eller andra inkräktande uppgifter, särskilt barns personuppgifter, o leder till, eller sannolikt kan leda till att den enskilda personen ändrar sitt beteende på ett väsentligt sätt, o leder till osannolika, oväntade eller oönskade konsekvenser för den enskilda personen, o ger upphov till pinsamma situationer eller andra negativa resultat, även skadat anseende, eller o innebär behandling av en stor mängd personuppgifter.

text: Syftet med testet av ”väsentlig påverkan” är sammanfattningsvis att se till att tillsynsmyndigheterna endast behöver samarbeta formellt med varandra via den allmänna dataskyddsförordningens mekanism för enhetlighet när en tillsynsmyndighet avser att anta en åtgärd som är avsedd att ha rättsverkan gällande behandlingar som i väsentlig grad påverkar ett betydande antal registrerade i flera medlemsstater (skäl 135).

text: 1.2 Ansvarig tillsynsmyndighet

text: Enkelt uttryckt är en ansvarig tillsynsmyndighet den myndighet som har det främsta ansvaret för att handlägga ärenden som rör gränsöverskridande behandling, till exempel om en registrerad inger ett klagomål om behandlingen av sina personuppgifter.

text: Den ansvariga tillsynsmyndigheten samordnar eventuella utredningar som omfattar andra ”berörda” tillsynsmyndigheter.

text: För att kunna fastställa ansvarig tillsynsmyndighet måste man avgöra var den personuppgiftsansvariges ”huvudsakliga” eller ”enda” verksamhetsställe i EU finns. Följande anges i

text: artikel 56 i den allmänna dataskyddsförordningen

text: - [T]illsynsmyndigheten för den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe eller enda verksamhetsställe [ska] vara behörig att agera som ansvarig tillsynsmyndighet för den personuppgiftsansvariges eller personuppgiftsbiträdets gränsöverskridande behandling i enlighet med det förfarande [för samarbete] som föreskrivs i

text: artikel 60

text: 1.3 Huvudsakligt verksamhetsställe

text: ”Huvudsakligt verksamhetsställe” definieras på följande sätt i

text: artikel 4.16 i den allmänna dataskyddsförordningen

text: - när det gäller en personuppgiftsansvarig med verksamhetsställen i mer än en medlemsstat, den plats i unionen där vederbörande har sin centrala förvaltning, om inte besluten om ändamålen och medlen för behandlingen av personuppgifter fattas vid ett annat av den personuppgiftsansvariges verksamhetsställen i unionen och det sistnämnda verksamhetsstället har befogenhet att få sådana beslut genomförda, i vilket fall det verksamhetsställe som har fattat sådana beslut ska betraktas som det huvudsakliga verksamhetsstället,

text: - när det gäller ett personuppgiftsbiträde med verksamhetsställen i mer än en medlemsstat, den plats i unionen där vederbörande har sin centrala förvaltning eller, om personuppgiftsbiträdet inte har någon central förvaltning i unionen, det av personuppgiftsbiträdets verksamhetsställen i unionen där den huvudsakliga behandlingen inom ramen för verksamheten vid ett av personuppgiftsbiträdets verksamhetsställen sker, i den utsträckning som personuppgiftsbiträdet omfattas av särskilda skyldigheter enligt denna förordning.

text: 2. Steg i fastställandet av ansvarig tillsynsmyndighet

text: 2.1 Att fastställa ”huvudsakligt verksamhetsställe” för personuppgiftsansvariga

text: För att fastställa var det huvudsakliga verksamhetsstället är beläget måste man först identifiera var den personuppgiftsansvariges centrala förvaltning i EU finns (i förekommande fall) . Tillvägagångssättet enligt den allmänna dataskyddsförordningen är att den centrala förvaltningen i EU är den plats där besluten om ändamålen och medlen för behandlingen av personuppgifter fattas, och att detta verksamhetsställe har befogenhet att genomföra sådana beslut.

text: Kärnan i den allmänna dataskyddsförordningens princip om ansvarig tillsynsmyndighet är att tillsynen av gränsöverskridande behandling bör ledas av endast en tillsynsmyndighet i EU. I sådana fall där beslut om olika verksamheter som rör gränsöverskridande behandling fattas inom den centrala förvaltningen i EU, utses endast en ansvarig tillsynsmyndighet för de olika typerna av verksamhet som rör sådan behandling av personuppgifter som genomförs av det multinationella företaget. Det kan dock hända att ett annat verksamhetsställe än den centrala förvaltningen fattar självständiga beslut om ändamålen och medlen för en viss typ av behandling. Detta innebär att det kan uppstå situationer där fler än en ansvarig tillsynsmyndighet kan identifieras, dvs. i sådana fall där ett multinationellt företag beslutar att ha verksamhetsställen med beslutsbefogenhet i flera olika länder för olika typer av behandlingsverksamhet.

text: Det är värt att påminna om att när ett multinationellt företag centraliserar alla beslut om ändamålen och medlen för behandling till ett av sina verksamhetsställen i EU (och detta verksamhetsställe har befogenheten att genomföra sådana beslut) fastställs endast en ansvarig tillsynsmyndighet för det multinationella företaget.

text: I sådana situationer är det viktigt att företagen exakt fastställer var besluten om ändamålen och medlen för behandlingen fattas. Det ligger i de personuppgiftsansvarigas och personuppgiftsbiträdenas intresse att rätt ansvarig tillsynsmyndighet fastställs, eftersom de då vet vilken tillsynsmyndighet de ska vända sig till med avseende på deras olika efterlevnadsskyldigheter enligt den allmänna dataskyddsförordningen. Dessa skyldigheter omfattar i förekommande fall att utnämna ett dataskyddsombud eller samråda om behandling som medför sådana risker som den personuppgiftsansvarige inte kan begränsa med rimliga medel. Syftet med de relevanta bestämmelserna i den allmänna dataskyddsförordningen är att dessa efterlevnadsuppgifter ska vara hanterliga.

text: Exemplen nedan åskådliggör detta:

text: Exempel 1: Ett livsmedelsföretag har sitt huvudkontor (dvs. centrala förvaltning) i Rotterdam i Nederländerna. Det har verksamhetsställen i flera andra EU-länder, som står i kontakt med enskilda personer där. Alla verksamhetsställen använder samma programvara för att behandla konsumenters personuppgifter för marknadsföringsändamål. Alla beslut om ändamålen och medlen för behandlingen av konsumenternas personuppgifter för marknadsföringsändamål fattas vid huvudkontoret i Rotterdam. Detta innebär att företagets ansvariga tillsynsmyndighet för denna gränsöverskridande behandling är Nederländernas tillsynsmyndighet.

text: Exempel 2: En bank har sitt huvudkontor i Frankfurt och all behandling i samband med bankverksamheten organiseras därifrån, men försäkringsavdelningen är förlagd till Wien. Om verksamhetsstället i Wien har befogenhet att besluta om all behandling som rör försäkringsuppgifter och genomföra dessa beslut i hela EU är det enligt

text: den österrikiska tillsynsmyndigheten som är ansvarig tillsynsmyndighet för den gränsöverskridande behandlingen av personuppgifter för

text: försäkringsändamål, och de tyska myndigheterna (tillsynsmyndigheten i Hessen) skulle övervaka behandlingen av personuppgifter för bankändamål, var kunderna än finns någonstans .

text: 2.1.1 Kriterier för att avgöra en personuppgiftsansvarigs huvudsakliga verksamhetsställe när denna plats inte är den plats där den personuppgiftsansvarige har sin centrala förvaltning i EU

text: Skäl 36

text: i

text: den allmänna dataskyddsförordningen

text: är användbart för att klargöra vilken den viktigaste faktorn ska vara vid fastställandet av den personuppgiftsansvariges huvudsakliga verksamhetsställe, om inte kriteriet för central förvaltning är tillämpligt. Det handlar bland annat om att fastställa var den faktiska och reella ledningen finns, dvs. den ledning som fattar de huvudsakliga besluten vad avser ändamål och medel för behandlingen med hjälp av en stabil struktur. I skäl 36 klargörs också följande: ”Att tekniska medel och teknik för behandling av personuppgifter eller behandlingsverksamhet finns och används visar i sig inte att det rör sig om ett huvudsakligt verksamhetsställe och utgör därför inte avgörande kriterier för ett huvudsakligt verksamhetsställe”.

text: Det är den personuppgiftsansvarige som själv fastställer var det huvudsakliga verksamhetsstället finns och följaktligen vilken tillsynsmyndighet som är ansvarig tillsynsmyndighet. Detta kan dock bestridas av respektive berörda tillsynsmyndigheter i efterhand.

text: Nedanstående faktorer är till hjälp för att avgöra platsen för en personuppgiftsansvarigs huvudsakliga verksamhetsställe enligt villkoren i den allmänna dataskyddsförordningen när denna plats inte är platsen för den personuppgiftsansvariges centrala förvaltning i EU.

text: o Var ges det slutliga godkännandet av beslut om ändamål och medel för behandlingen? o Var fattas beslut om affärsverksamhet som omfattar behandling av personuppgifter? o Var finns den faktiska befogenheten att genomföra beslut? o Var finns direktören (eller direktörerna) som har det huvudsakliga ansvaret för den gränsöverskridande behandlingen? o Var är den personuppgiftsansvarige eller personuppgiftsbiträdet registrerad som ett företag, om behandlingen sker inom ett enda territorium?

text: Observera att denna lista inte är uttömmande. Andra faktorer kan vara relevanta beroende på den personuppgiftsansvarige eller behandlingen i fråga. Om en tillsynsmyndighet har skäl att tvivla på att det verksamhetsställe som fastställts av den personuppgiftsansvarige verkligen är det huvudsakliga verksamhetsstället enligt den allmänna dataskyddsförordningen, kan den naturligtvis begära att den personuppgiftsansvarige lämnar nödvändiga kompletterande uppgifter för att visa var det huvudsakliga verksamhetsstället är beläget.

text: 2.1.2 Företagskoncerner

text: När behandling genomförs av en företagskoncern som har sitt huvudkontor i EU förutsätts verksamhetsstället för det företag som har den övergripande kontrollen vara den plats där besluten om behandling av personuppgifter fattas. Detta verksamhetsställe anses därför vara koncernens huvudsakliga verksamhetsställe, utom om besluten om ändamålen och medlen för behandlingen fattas av ett annat verksamhetsställe. Moderföretaget eller koncernens operativa huvudkontor i EU är sannolikt det huvudsakliga verksamhetsstället, eftersom det är den plats där den centrala förvaltningen finns.

text: Definitionen innehåller en hänvisning till platsen för en personuppgiftsansvarigs centrala förvaltning, och den fungerar väl för organisationer som har ett centraliserat huvudkontor för beslutsfattande och en filialstruktur. I sådana fall står det klart att det är företagets huvudkontor som har befogenheten att fatta beslut om gränsöverskridande behandling av personuppgifter och att genomföra dessa beslut. Här kan det avgöras direkt vilken plats som är det huvudsakliga verksamhetsstället, och därmed vilken tillsynsmyndighet som är ansvarig tillsynsmyndighet. En koncerns beslutssystem kan dock vara mer invecklat, där olika verksamhetsställen ges oberoende beslutsbefogenheter för gränsöverskridande behandling. De kriterier som anges ovan bör vara till hjälp för koncerner för att fastställa deras huvudsakliga verksamhetsställe.

text: 2.1.3 Gemensamt personuppgiftsansvariga

text: Frågan om vilken tillsynsmyndighet som ska vara ansvarig när två eller flera personuppgiftsansvariga som är etablerade i EU gemensamt avgör ändamålen och medlen för behandlingen, dvs. när det finns gemensamma personuppgiftsansvariga, behandlas inte uttryckligen i den allmänna dataskyddsförordningen. I

text: artikel 26.1

text: och skäl 79 klargörs att i situationer där personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen tillsammans med andra personuppgiftsansvariga ska de under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt förordningen. För att kunna utnyttja principen om en enda kontaktpunkt bör gemensamt personuppgiftsansvariga därför utse (bland de verksamhetsställen där beslut fattas) vilka av de gemensamt personuppgiftsansvarigas verksamhetsställen som har befogenhet att genomföra beslut om behandling med avseende på alla gemensamt personuppgiftsansvariga. Detta verksamhetsställe anses därefter vara det huvudsakliga verksamhetsstället för sådan behandling som utförs av de gemensamt personuppgiftsansvariga. Arrangemanget med gemensamt personuppgiftsansvariga påverkar inte ansvarsbestämmelserna i den allmänna dataskyddsförordningen, särskilt

text: artikel 82.4

text: 2.2 Gränsfall

text: Det kommer att uppstå gränsfall och komplexa situationer, där det är svårt att fastställa det huvudsakliga verksamhetsstället eller avgöra var besluten om behandling fattas. Så kan vara fallet när behandlingen är gränsöverskridande och den personuppgiftsansvarige är etablerad i flera medlemsstater men inte har sin centrala förvaltning i EU, och när inget av verksamhetsställena i EU fattar beslut om behandling (dvs. besluten fattas endast utanför EU).

text: I ovanstående fall kan ett företag som genomför gränsöverskridande behandling helst vilja regleras av en ansvarig tillsynsmyndighet för att kunna utnyttja principen om en enda kontaktpunkt. Den allmänna dataskyddsförordningen ger dock ingen lösning för sådana situationer. Det verksamhetsställe som har befogenhet att genomföra beslut om behandlingen och tar ansvaret för denna samt har tillräckliga tillgångar bör under dessa omständigheter utses till huvudsakligt verksamhetsställe av företaget. Om företaget inte utser ett huvudsakligt verksamhetsställe på detta sätt är det inte heller möjligt att utse en ansvarig tillsynsmyndighet. Tillsynsmyndigheterna kan alltid utreda ärenden närmare om det behövs.

text: ”Forum shopping” är inte tillåtet enligt den allmänna dataskyddsförordningen. Om ett företag hävdar att det har sitt huvudsakliga verksamhetsställe i en medlemsstat, men den faktiska och reella ledningen eller beslutsfattandet om behandling av personuppgifter inte sker där, beslutar de relevanta tillsynsmyndigheterna (eller i sista hand Europeiska dataskyddsstyrelsen) vilken tillsynsmyndighet som är ansvarig, med hjälp av objektiva kriterier och med hänsyn till tillgängliga belägg. Processen för att avgöra var det huvudsakliga verksamhetsstället finns kan kräva aktiva efterforskningar och aktivt samarbete av och mellan tillsynsmyndigheterna. Slutsatserna kan inte bara grundas på den granskade organisationens redogörelser. Bevisbördan ligger i sista hand hos de personuppgiftsansvariga och personuppgiftsbiträdena, eftersom det är deras ansvar att visa de relevanta tillsynsmyndigheterna var de berörda besluten om behandling fattas och vilken plats som har befogenhet att genomföra sådana beslut. Noggrann registrering av behandlingen hjälper både organisationerna och tillsynsmyndigheterna att fastställa den ansvariga tillsynsmyndigheten. Den ansvariga tillsynsmyndigheten eller de berörda myndigheterna kan avvisa den personuppgiftsansvariges analys baserat på en objektiv granskning av relevanta fakta, och kan begära ytterligare uppgifter om så behövs.

text: I vissa fall ber de relevanta tillsynsmyndigheterna den personuppgiftsansvarige att lämna tydliga belägg enligt riktlinjerna från Europeiska dataskyddsstyrelsen om var det huvudsakliga verksamhetsstället finns eller var besluten om en viss typ av behandling fattas. Dessa belägg beaktas vederbörligen och de berörda tillsynsmyndigheterna samarbetar för att besluta vilken av dem som tar ansvaret för utredningen. Sådana ärenden hänskjuts till Europeiska dataskyddsstyrelsen för beslut enligt

text: artikel 65.1 b

text: endast om tillsynsmyndigheterna har motstridiga åsikter om fastställandet av ansvarig tillsynsmyndighet. Oftast bör de relevanta tillsynsmyndigheterna dock kunna enas om ett ömsesidigt tillfredsställande handlingssätt.

text: 2.3 Personuppgiftsbiträden

text: Enligt den allmänna dataskyddsförordningen får även personuppgiftsbiträden som omfattas av förordningen och har verksamhetsställen i mer än en medlemsstat utnyttja systemet med en enda kontaktpunkt.

text: Enligt

text: artikel 4.16 b i förordningen

text: ska personuppgiftsbiträdets verksamhetsställe vara den plats i EU där personuppgiftsbiträdet har sin centrala förvaltning eller, om personuppgiftsbiträdet inte har någon central förvaltning i EU, det av personuppgiftsbiträdets verksamhetsställen i EU där den huvudsakliga behandlingen sker.

text: Enligt skäl 36 bör dock den personuppgiftsansvariges tillsynsmyndighet vara ansvarig tillsynsmyndighet i sådana fall som omfattar både en personuppgiftsansvarig och ett

text: personuppgiftsbiträde. I denna situation blir personuppgiftsbiträdets tillsynsmyndighet en ”berörd tillsynsmyndighet”, och bör delta i samarbetsförfarandet. Denna regel gäller endast om den personuppgiftsansvarige är etablerad i EU. I sådana fall där personuppgiftsansvariga omfattas av den allmänna dataskyddsförordningen enligt

text: artikel 3.2

text: kan de inte utnyttja mekanismen för en enda kontaktpunkt. Ett personuppgiftsbiträde kan tillhandahålla tjänster till flera personuppgiftsansvariga som är etablerade i olika medlemsstater, till exempel en stor molntjänstleverantör. I ett sådant fall är den ansvariga tillsynsmyndigheten den tillsynsmyndighet som är behörig att agera som ansvarig tillsynsmyndighet för den personuppgiftsansvarige. I praktiken innebär detta att personuppgiftsbiträden kan behöva ha kontakt med flera tillsynsmyndigheter.

text: 3. Andra relevanta frågor

text: 3.1 Den ”berörda tillsynsmyndighetens” roll

text: Följande anges i

text: artikel 4.22 i den allmänna dataskyddsförordningen

text: berörd tillsynsmyndighet: en tillsynsmyndighet som berörs av behandlingen av personuppgifter på grund av att a) den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad på tillsynsmyndighetens medlemsstats territorium, b) registrerade som är bosatta i den tillsynsmyndighetens medlemsstat i väsentlig grad påverkas eller sannolikt i väsentlig grad kommer att påverkas av behandlingen, eller c) ett klagomål har lämnats in till denna tillsynsmyndighet.

text: Syftet med begreppet ”berörd tillsynsmyndighet” är att säkerställa att modellen med en ansvarig tillsynsmyndighet inte hindrar andra tillsynsmyndigheter som berörs att vara med och besluta hur ett ärende behandlas när till exempel enskilda personer som är bosatta utanför den ansvariga tillsynsmyndighetens behörighetsområde i väsentlig grad påverkas av en behandling. När det gäller led a) ovan gäller samma överväganden som vid fastställandet av ansvarig tillsynsmyndighet. Observera att i fråga om led b) måste de registrerade endast vara bosatta i den berörda medlemsstaten, dvs. han eller hon behöver inte vara medborgare i den staten. När det gäller led c) är det vanligen enkelt att i sak fastställa huruvida en viss tillsynsmyndighet har mottagit ett klagomål.

text: Enligt artikel

text: och

text: i den allmänna dataskyddsförordningen får en berörd tillsynsmyndighet delta i behandlingen av ett ärende utan att vara ansvarig tillsynsmyndighet. Om den ansvariga tillsynsmyndigheten beslutar att inte behandla ett ärende ska den tillsynsmyndighet som underrättade den ansvariga tillsynsmyndigheten behandla ärendet. Detta överensstämmer med förfarandena enligt

text: artikel 61

text: (Ömsesidigt bistånd) och

text: artikel 62

text: (Tillsynsmyndigheters gemensamma insatser) i den allmänna dataskyddsförordningen. Så kan till exempel vara fallet om ett marknadsföringsföretag som har sitt huvudsakliga verksamhetsställe i Paris lanserar en produkt som endast påverkar registrerade som är bosatta i Portugal. I detta fall kan de franska och portugisiska tillsynsmyndigheterna enas om att den portugisiska tillsynsmyndigheten bör ansvara för behandlingen av ärendet. Tillsynsmyndigheterna kan begära att de personuppgiftsansvariga lämnar uppgifter som klargör deras företagsarrangemang. Med tanke på att behandlingen endast har en lokal påverkan, dvs. på enskilda personer i Portugal, kan de franska och portugisiska tillsynsmyndigheterna efter eget gottfinnande fatta beslut om vilken tillsynsmyndighet som bör behandla ärendet, enligt skäl 127.

text: Enligt den allmänna dataskyddsförordningen ska ansvariga tillsynsmyndigheter och berörda tillsynsmyndigheter, med vederbörlig respekt för varandras åsikter, samarbeta för att se till att ärenden utreds och löses på ett sätt som varje myndighet finner tillfredsställande, med effektiva rättsmedel för de registrerade. Tillsynsmyndigheterna bör sträva efter att enas om ett ömsesidigt godtagbart handlingssätt. Den formella mekanismen för enhetlighet bör endast åberopas om samarbetet inte leder till ett ömsesidigt godtagbart resultat.

text: Ömsesidigt godtagande av beslut kan gälla för väsentliga slutsatser, men även för det beslutade handlingssättet, inklusive tillsyn (t.ex. fullständig utredning eller begränsad utredning). Det kan även gälla för beslut om att inte behandla ett ärende enligt den allmänna dataskyddsförordningen, till exempel på grund av att det finns en formell prioriteringspolicy, eller på grund av att det finns andra berörda tillsynsmyndigheter enligt beskrivningen ovan.

text: Samförstånd och god vilja i tillsynsmyndigheternas förbindelser med varandra är avgörande för att den allmänna dataskyddsförordningens process för samarbete och enhetlighet ska fungera.

text: 3.2 Lokal behandling

text: Lokal behandling av personuppgifter omfattas inte av den allmänna dataskyddsförordningens bestämmelser om samarbete och enhetlighet. Tillsynsmyndigheterna ska respektera sina respektive befogenheter för att hantera lokal behandling på lokal nivå. Behandling som genomförs av offentliga myndigheter hanteras alltid också på lokal nivå.

text: 3.3 Företag som inte är etablerade i EU

text: Den allmänna dataskyddsförordningens mekanism för samarbete och enhetlighet tillämpas endast på personuppgiftsansvariga som har ett eller flera verksamhetsställen inom EU. Om ett företag inte har något verksamhetsställe i EU, men har ett ombud i någon av medlemsstaterna, innebär detta inte att systemet med en enda kontaktpunkt tillämpas. Det innebär i sin tur att personuppgiftsansvariga som inte har ett verksamhetsställe i EU måste ha kontakt med lokala tillsynsmyndigheter i varje medlemsstat där de är aktiva, via sitt lokala ombud.

text: Riktlinjer antagna i Bryssel den 13 december 2016

text: På arbetsgruppens vägnar,

text: ordförande Isabelle Falque-Pierrotin

text: På arbetsgruppens vägnar,

text: ordförande Isabelle Falque-Pierrotin

text: BILAGA – Frågor till hjälp för fastställandet av ansvarig tillsynsmyndighet

text: 1. Genomför den personuppgiftsansvarige eller personuppgiftsbiträdet gränsöverskridande behandling av personuppgifter?

text: a. Ja, om  den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad i mer än en medlemsstat, och  behandlingen av personuppgifter sker inom ramen för verksamhetsställen i mer än en medlemsstat.

text:  I detta fall, gå till avsnitt 2.

text: b. Ja, om  behandlingen av personuppgifter sker inom ramen för verksamheten vid den personuppgiftsansvariges eller personuppgiftsbiträdets enda verksamhetsställe i unionen, men  behandlingen i väsentlig grad påverkar eller sannolikt i väsentlig grad kommer att påverka de registrerade i mer än en medlemsstat.  I detta fall är den ansvariga tillsynsmyndigheten den myndighet som ansvarar för den personuppgiftsansvariges eller personuppgiftsbiträdets enda verksamhetsställe i en enda medlemsstat. Detta måste logiskt sett vara den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe, eftersom det är det enda verksamhetsstället.

text: 2. Hur fastställer man den ansvariga tillsynsmyndigheten?

text: a. Om endast personuppgiftsansvariga berörs:

text: i. Fastställ den plats i EU där den personuppgiftsansvarige har sin centrala förvaltning.

text: ii. Tillsynsmyndigheten i det land där den centrala förvaltningen finns är då den personuppgiftsansvariges ansvariga tillsynsmyndighet.

text: Följande måste dock beaktas:

text: iii. Om besluten om ändamålen och medlen för behandlingen fattas vid ett annat verksamhetsställe i EU och det verksamhetsstället har befogenhet att genomföra besluten, är det tillsynsmyndigheten i det land där verksamhetsstället finns som är ansvarig tillsynsmyndighet.

text: b. Om både personuppgiftsansvariga och personuppgiftsbiträden berörs:

text: i. Kontrollera om den personuppgiftsansvarige är etablerad i EU och omfattas av systemet med en enda kontaktpunkt. Om så är fallet:

text: ii. Fastställ den personuppgiftsansvariges ansvariga tillsynsmyndighet. Denna myndighet är också ansvarig tillsynsmyndighet för personuppgiftsbiträdet.

text: iii. Den tillsynsmyndighet (ej ansvarig) som är behörig för personuppgiftsbiträdet blir då en ”berörd myndighet” – se punkt 3. c. Om endast personuppgiftsbiträden berörs: i. Fastställ den plats i EU där personuppgiftsbiträdet har sin centrala förvaltning. ii. Om personuppgiftsbiträdet inte har sin centrala förvaltning i EU ska det fastställas vid vilket verksamhetsställe i EU personuppgiftsbiträdet huvudsakligen genomför behandlingen. d. Om gemensamt personuppgiftsansvariga berörs: i. Kontrollera om de gemensamt personuppgiftsansvariga är etablerade i EU. ii. Jämför de verksamhetsställen där besluten om ändamålen och medlen för behandlingen fattas, och fastställ vilket verksamhetsställe som har befogenhet att genomföra besluten med avseende på samtliga gemensamt personuppgiftsansvariga. Detta verksamhetsställe anses därefter vara det huvudsakliga verksamhetsstället för den behandling som utförs av de gemensamt personuppgiftsansvariga. Den ansvariga tillsynsmyndigheten är myndigheten i det land där verksamhetsstället finns.

text: 3. Finns det några ”berörda tillsynsmyndigheter”?

text: En myndighet är en ”berörd myndighet”  när den personuppgiftsansvarige eller personuppgiftsbiträdet har ett verksamhetsställe på myndighetens territorium, eller  när de registrerade på myndighetens territorium i väsentlig grad påverkas eller sannolikt i väsentlig grad kommer att påverkas av behandlingen, eller  när en viss myndighet mottar ett klagomål.

type: vagledning

utgivare: edpb


text: Arbetsgruppen inrättades enligt

text: artikel 29 i direktiv 95/46/EG

text: . Den är ett oberoende rådgivande EU-organ i frågor rörande dataskydd och integritet. Dess uppgifter beskrivs i

text: artikel 30 i direktiv 95/46/EG

text: och

text: artikel 15 i direktiv 2002/58/EG

text: . Gruppens sekretariat finns hos direktorat C (Grundläggande rättigheter och unionsmedborgarskap) på Europeiska kommissionen, Generaldirektoratet för rättsliga frågor, B-1049 Bryssel, Belgien, Kontor MO-59 03/075. Webbplats: http://ec.europa.eu/justice/data-protection/index_en.htm

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). I andra sammanhang används ofta begreppet ”konsekvensbedömning avseende integritet” för att hänvisa till samma koncept. 3 I

text: artikel 27 i Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter föreskrivs även att en konsekvensbedömning avseende dataskydd behövs om ”behandling[en] [...] sannolikt leder till en hög risk för fysiska personers rättigheter och friheter”. I förordningen definieras inte begreppet konsekvensbedömning i sig i formellt hänseende, men - dess minimiinnehåll specificeras på följande sätt i

text: artikel 35.7

text: : o ”a) en systematisk beskrivning av den planerade behandlingen och behandlingens syften, inbegripet, när det är lämpligt, den personuppgiftsansvariges berättigade intresse, o b) en bedömning av behovet av och proportionaliteten hos behandlingen i förhållande till syftena, o c) en bedömning av de risker för de registrerades rättigheter och friheter som avses i punkt 1, och o d) de åtgärder som planeras för att hantera riskerna, inbegripet skyddsåtgärder, säkerhetsåtgärder och rutiner för att säkerställa skyddet av personuppgifterna och för att visa att denna förordning efterlevs, med hänsyn till de registrerades och andra berörda personers rättigheter och berättigade intressen.” - dess innebörd och roll klargörs på följande sätt i skäl 84: ”I syfte att sörja för bättre efterlevnad av denna förordning när behandlingen sannolikt kan innebära en hög risk för fysiska personers rättigheter och friheter, bör den personuppgiftsansvarige vara ansvarig för att en konsekvensbedömning utförs avseende dataskydd för att bedöma framför allt riskens ursprung, art, särdrag och allvar.” 5 Se även skäl 84: ”Resultatet av denna bedömning bör beaktas vid fastställandet av de lämpliga åtgärder som ska vidtas för att visa att behandlingen av personuppgifter är förenlig med denna förordning.”

text: Arbetsgruppens yttrande 14/EN

text: WP 218

text: Statement on the role of a risk-based approach in data protection legal frameworks (Yttrande om en riskbaserad metod inom den rättsliga ramen för uppgiftsskydd), antaget den 30 maj 2014. http://ec.europa.eu/justice/data-protection/article-29/documentation/opinionrecommendation/files/2014/wp218_en.pdf?wb48617274=72C54532 Arbetsgruppens riktlinjer om dataskyddsombud 16/EN

text: WP 243

text: , antagna den 13 december 2016. http://ec.europa.eu/information_society/newsroom/image/document/2016- 51/wp243_en_40855.pdf?wb48617274=CD63BD9A Arbetsgruppens yttrande 03/2013 om ändamålsbegränsningar 13/EN

text: WP 203

text: , antaget den 2 april 2013. http://ec.europa.eu/justice/data-protection/article-29/documentation/opinionrecommendation/files/2013/wp203_en.pdf?wb48617274=39E0E409 T.ex. ISO 31000:2009, Riskhantering – Principer och riktlinjer, Internationella standardiseringsorganisationen (ISO), ISO/IEC 29134 (projekt), Information technology – Security techniques – Privacy impact assessment – Guidelines, Internationella standardiseringsorganisationen (ISO).

text: Det ska framhållas att det för hantering av risker i samband med fysiska personers rättigheter och friheter krävs en regelbunden identifiering, analys, uppskattning, utvärdering, behandling (dvs. avhjälpning) och översyn av riskerna. Personuppgiftsansvariga kan inte undgå sitt ansvar genom att täcka riskerna genom försäkringsavtal.

text: Råd från dataskyddsombudet Innebär sannolikt en hög Inhämta synpunkter från de [

text: artikel 35.2

text: ] Uppförandekod(er) risk? registrerade Övervaka genomförandet [

text: artikel 35.8

text: artikel 35.1

text: , artikel

text: artikel 35.9

text: artikel 39.1 c

text: Nej Ja Undantag? [artikel

text: och

text: Ja Nej Konsekvensbedömning Ingen konsekvensbedömning behövs [

text: artikel 35.7

text: Återstående hög risk? [

text: artikel 36.1

text: ] Den Nej Ja personuppgiftsansvarige har gjort en översyn Förhandssamråd [

text: artikel 35.11

text: ] Inget förhandssamråd

text: Se skälen 89, 91 och artikel

text: och

text: för ytterligare exempel. 12 Se skäl 75: ”framför allt analyser eller förutsägelser beträffande sådant som rör arbetsprestationer, ekonomisk ställning, hälsa, personliga preferenser eller intressen, tillförlitlighet eller beteende, vistelseort eller förflyttningar, i syfte att skapa eller använda personliga profiler”.

text: Se skäl 75: ”om personuppgifter behandlas som avslöjar ras eller etniskt ursprung, politiska åsikter, religion eller övertygelse eller medlemskap i fackförening, om genetiska uppgifter, uppgifter om hälsa eller sexualliv eller fällande domar i brottmål samt överträdelser eller därmed sammanhängande säkerhetsåtgärder behandlas”. 14 Se t.ex. skälen 75, 76, 92 och 116. Arbetsgruppen tolkar att ”systematisk” innebär att övervakningen har en eller flera av följande kännetecken (se arbetsgruppens riktlinjer om dataskyddsombud 16/EN

text: WP 243

text: ): - Övervakningen sker enligt ett system, - den har arrangerats i förväg, är organiserad eller metodisk, - äger rum som en del i en allmän plan för insamling av uppgifter, - och/eller utförs som en del av en strategi.

text: Arbetsgruppen anser att ”allmän plats” ska tolkas så att det innebär alla platser som är tillgängliga för allmänheten, till exempel ett torg, ett köpcentrum, en gata, en marknad, en tågstation eller ett offentligt bibliotek. Se arbetsgruppens riktlinjer 16/EN

text: WP 243

text: om dataskyddsombud. Se förklaringen i arbetsgruppens yttrande 13/EN

text: WP 203

text: om ändamålsbegränsningar, s. 24.

text: I detta avseende ”ska den behöriga tillsynsmyndigheten tillämpa den mekanism för enhetlighet som avses i

text: artikel 63

text: om en sådan förteckning inbegriper behandling som rör erbjudandet av varor eller tjänster till registrerade, eller övervakning av deras beteende i flera medlemsstater, eller som väsentligt kan påverka den fria rörligheten för personuppgifter i unionen” (

text: artikel 35.6

text: ). ”En enda bedömning kan omfatta en serie liknande behandlingar som medför liknande höga risker.” ”Beslut av kommissionen som antagits och tillstånd från tillsynsmyndigheterna som utfärdats på grundval av direktiv

text: ska fortsatt vara giltiga tills de ändras, ersätts eller upphävs.” (Skäl 171.) Om en konsekvensbedömning utförs under utarbetandet av den lagstiftning som utgör rättslig grund för behandlingen, krävs det sannolikt en översyn innan den börjar användas, eftersom den lagstiftning som antas kan skilja sig från förslaget på sätt som påverkar integriteten och frågor som rör uppgiftsskydd. Vid den tidpunkt när lagstiftningen antogs fanns kanske inte heller tillräckliga tekniska detaljer avseende den faktiska behandlingen, även om den åtföljdes av en konsekvensbedömning. I sådana fall kan det fortfarande vara nödvändigt att utföra en särskild konsekvensbedömning innan den faktiska behandlingen utförs.

text: Beroende på sammanhanget, insamlade uppgifter, ändamål, funktioner, behandlade personuppgifter, mottagare, uppgiftskombinationer, risker (stödjande tillgångar, riskkällor, eventuell påverkan, hot osv.), säkerhetsåtgärder och internationella överföringar.

text: Förutom om det redan finns en befintlig behandling som har kontrollerats av tillsynsmyndigheten, i vilket fall en konsekvensbedömning ska utföras innan betydande förändringar genomförs.

text: Recommendations for a privacy impact assessment framework for the European Union, Deliverable D3: http://www.piafproject.eu/ref/PIAF_D3_final.pdf

text: Beskrivning av den planerade behandlingen

text: Bedömning av Övervakning och behovet och översyn proportionaliteten

text: Planerade åtgärder Dokumentation för att visa efterlevnad

text: Bedömning av Planerade åtgärder risker för för att hantera rättigheter och riskerna friheter

text: Det bör understrykas att det förfarande som avbildas här är återkommande: i praktiken är det sannolikt att varje steg upprepas flera gånger innan konsekvensbedömningen kan slutföras.

text: Riskhanteringsprocesser: kommunikation och samråd, fastställande av sammanhang, riskbedömning, riskbehandling, övervakning och översyn (se termer och definitioner, liksom innehållsförteckning, i förhandsvisningen av ISO 31000: https://www.iso.org/obp/ui/#iso:std:iso:31000:ed-1:v1:en).

text: I

text: artikel 35.10

text: utesluts uttryckligen enbart tillämpning av artikel

text: . Skriftliga råd till den personuppgiftsansvarige behövs bara om tillsynsmyndigheten anser att den planerade behandlingen skulle strida mot förordningen enligt

text: artikel 36.2

text: . Inbegripet beaktande av befintlig vägledning från Europeiska dataskyddsstyrelsen och tillsynsmyndigheter och med hänsyn till den senaste utvecklingen och kostnaderna för genomförandet såsom föreskrivs i

text: artikel 35.1

text: Anmärkning: ”pseudonymisering och kryptering av personuppgifter” (samt en minimering av uppgifter, mekanismer för översyn osv.) är inte nödvändigtvis lämpliga åtgärder. De utgör enbart exempel. Vilka åtgärder som är lämpliga beror på sammanhanget och de särskilda riskerna med behandlingen.

text: Enhälligt antagen (med reservation från Bayern) vid den 92:a konferensen för oberoende dataskyddsmyndigheter i förbundsstaten och delstaterna i Kühlungsborn den 9–10 november 2016. Se även: - Kommissionens rekommendation av den 12 maj 2009 om genomförandet av principerna om integritetsoch dataskydd i tillämpningar som stöds av radiofrekvensidentifiering. https://ec.europa.eu/digital-single-market/en/news/commission-recommendation-12-may-2009implementation-privacy-and-data-protection-principles - Yttrande nr 9/2011 om branschens omarbetade förslag till ram för konsekvensbedömning av integritetsoch uppgiftsskydd för tillämpningar som stöds av radiofrekvensidentifiering (RFID). http://ec.europa.eu/justice/data-protection/article-29/documentation/opinionrecommendation/files/2011/wp180_sv.pdf 33 Se även yttrande 7/2013 om mallen för konsekvensbedömning av uppgiftsskydd för smarta nät och mätarsystem (nedan kallad mallen för konsekvensbedömning av uppgiftsskydd) som tagits fram av expertgrupp 2 i kommissionens arbetsgrupp för smarta nätverk. http://ec.europa.eu/justice/data-protection/article- 29/documentation/opinion-recommendation/files/2013/wp209_sv.pdf

text: ISO/IEC 29134 (projekt), Information technology – Security techniques – Privacy impact assessment – Guidelines, Internationella standardiseringsorganisationen (ISO).

sprak: sv

title: Riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679

text: ARBETSGRUPPEN FÖR SKYDD AV ENSKILDA MED AVSEENDE PÅ BEHANDLING AV PERSONUPPGIFTER HAR

type: stycke

text: med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: , genom vilket arbetsgruppen inrättades, med beaktande av artiklarna 29 och 30 i detta direktiv, med beaktande av sin arbetsordning

text: ANTAGIT FÖLJANDE RIKTLINJER:

text: I. Inledning

text: Förordning 2016/679 (nedan kallad förordningen) gäller från och med den 25 maj 2018. Genom

text: artikel 35 i förordningen

text: införs begreppet ”konsekvensbedömning avseende dataskydd” (nedan kallad

text: konsekvensbedömning ), liksom genom direktiv 2016/680 .

text: En konsekvensbedömning är en process avsedd att beskriva behandlingen, bedöma huruvida den är nödvändig och proportionell och hjälpa till att hantera risker för fysiska personers rättigheter och friheter som uppkommer genom behandlingen av personuppgifter genom att bedöma dem och bestämma vilka åtgärder som ska vidtas. Konsekvensbedömningar är viktiga verktyg för utkrävande av ansvar, eftersom de inte bara hjälper personuppgiftsansvariga att uppfylla kraven i förordningen, utan även visar att lämpliga åtgärder har vidtagits för att säkerställa efterlevnaden av förordningen (se även

text: artikel 24

text: ) . Med andra ord är en konsekvensbedömning en process för att skapa och påvisa efterlevnad.

text: Enligt förordningen kan underlåtelse att iaktta kraven på konsekvensbedömning leda till att behörig tillsynsmyndighet utkräver sanktionsavgifter. Underlåtelse att utföra en konsekvensbedömning när behandlingen är föremål för en konsekvensbedömning (artikel

text: och

text: ), utförande av en konsekvensbedömning på ett felaktigt sätt (artikel

text: och

text: ), eller underlåtelse att samråda med behörig tillsynsmyndighet om detta krävs (

text: artikel 36.3 e

text: ), kan medföra en administrativ

text: sanktionsavgift på upp till 10 miljoner euro, eller, om det gäller ett företag, på upp till 2 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

text: II. Riktlinjernas tillämpningsområde

text: Dessa riktlinjer tar hänsyn till - yttrande 14/EN

text: WP 218

text: från artikel 29-arbetsgruppen (nedan kallad arbetsgruppen), - arbetsgruppens riktlinjer om dataskyddsombud 16/EN

text: WP 243

text: , - arbetsgruppens yttrande om ändamålsbegränsningar13/EN

text: WP 203

text: , - internationella standarder .

text: I överensstämmelse med den riskbaserade metoden i förordningen är det inte obligatoriskt att utföra en konsekvensbedömning för varje behandling. En konsekvensbedömning krävs endast om behandlingen ”sannolikt leder till en hög risk för fysiska personers rättigheter och friheter” (

text: artikel 35.1

text: ). För att säkerställa en enhetlig tolkning av de situationer i vilka en konsekvensbedömning är obligatorisk (

text: artikel 35.3

text: ) är det huvudsakliga syftet med de aktuella riktlinjerna att klargöra detta begrepp och tillhandahålla kriterier för de förteckningar som dataskyddsmyndigheterna ska upprätta enligt

text: artikel 35.4

text: Enligt

text: artikel 70.1 e

text: kan Europeiska dataskyddsstyrelsen utfärda riktlinjer, rekommendationer och bästa praxis i syfte att främja en enhetlig tillämpning av förordningen. Syftet med detta dokument är att föregå ett sådant framtida arbete från Europeiska dataskyddsstyrelsen och klargöra de aktuella bestämmelserna i förordningen för att hjälpa personuppgiftsansvariga att följa lagen och skapa rättssäkerhet för personuppgiftsansvariga som är skyldiga att utföra en konsekvensbedömning.

text: Dessa riktlinjer har även i syfte att främja utvecklingen av - en gemensam europeisk förteckning över det slags behandlingsverksamheter som omfattas av kravet på konsekvensbedömning (

text: artikel 35.4

text: ), - en gemensam EU-förteckning över det slags behandlingsverksamheter som inte behöver någon konsekvensbedömning (

text: artikel 35.5

text: ), - gemensamma kriterier för de metoder som används för att utföra en konsekvensbedömning (

text: artikel 35.5

text: ), - gemensamma kriterier för att specificera när samråd ska genomföras med tillsynsmyndigheten (

text: artikel 36.1

text: - rekommendationer som, om möjligt, bygger på erfarenheter som fåtts i medlemsstaterna.

text: III. Konsekvensbedömning: förklaringar till förordningen

text: Enligt förordningen är personuppgiftsansvariga skyldiga att genomföra lämpliga åtgärder för att säkerställa och för att kunna visa att förordningen efterlevs, bland annat med beaktande av ”riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter” (

text: artikel 24.1

text: ). Skyldigheten för personuppgiftsansvariga att i vissa fall utföra en konsekvensbedömning bör tolkas mot bakgrund av deras allmänna skyldighet att på ett lämpligt sätt hantera de risker som uppkommer vid behandling av personuppgifter. En ”risk” är ett scenario som beskriver en händelse och dess uppskattade konsekvenser vad gäller allvar och sannolikhet. ”Riskhantering”däremot, kan definieras som en samordnad verksamhet för att styra och kontrollera en organisation med avseende på risk. I

text: artikel 35

text: hänvisas till en sannolikt hög risk ”för enskildas rättigheter och friheter”. Såsom anges i yttrandet från artikel 29-arbetsgruppen för skydd av personuppgifter om den riskbaserade metoden inom den rättsliga ramen för uppgiftsskyddet avser hänvisningen till de registrerades ”rättigheter och friheter” i första hand dataskydd och integritet, men kan även omfatta andra grundläggande rättigheter såsom yttrandefrihet, tankefrihet, fri rörlighet, förbud mot diskriminering, rätt till frihet, samvete och religion. I överensstämmelse med den riskbaserade metoden i förordningen är det inte obligatoriskt att utföra en konsekvensbedömning för varje behandling. I stället krävs en konsekvensbedömning endast om en typ av behandling ”sannolikt leder till en hög risk för fysiska personers rättigheter och friheter” (

text: artikel 35.1

text: ). Det faktum att de villkor som utlöser skyldigheten att utföra en konsekvensbedömning inte är uppfyllda innebär emellertid inte någon minskning av personuppgiftsansvarigas generella skyldighet att genomföra åtgärder för att hantera risker för de registrerades rättigheter och friheter på ett lämpligt sätt. I praktiken innebär detta att personuppgiftsansvariga kontinuerligt är skyldiga att bedöma den risk som uppkommer vid deras behandlingar för att identifiera när en typ av behandling ”sannolikt leder till en hög risk för fysiska personers rättigheter och friheter”.

text: Följande figur illustrerar de grundläggande principerna för konsekvensbedömningen i förordningen:

text: A. Vad ska en konsekvensbedömning hantera? En enda behandling eller en serie liknande behandlingar. En konsekvensbedömning kan avse en enda behandling av uppgifter. I

text: artikel 35.1

text: föreskrivs emellertid att ”[e]n enda bedömning kan omfatta en serie liknande behandlingar som medför liknande höga risker”. I skäl 92 anges dessutom att ”[i]bland kan det vara förnuftigt och ekonomiskt att en konsekvensbedömning avseende dataskydd inriktar sig på ett vidare område än ett enda projekt, exempelvis när myndigheter eller organ avser att skapa en gemensam tillämpnings- eller behandlingsplattform eller när flera personuppgiftsansvariga planerar att införa en gemensam tillämpnings- eller behandlingsmiljö för en hel bransch eller ett helt segment eller för en allmänt utnyttjad horisontell verksamhet”.

text: En enda konsekvensbedömning kan användas för att bedöma flera behandlingar som liknar

text: varandra vad gäller art, omfattning, innehåll, ändamål och risker. Syftet med konsekvensbedömningarna är att systematiskt studera nya situationer som kan medföra hög risk för fysiska personers rättigheter och friheter, och det föreligger inte något behov av att utföra en konsekvensbedömning i situationer (dvs. behandlingar som utförs i ett särskilt sammanhang och av en särskild anledning) som redan har studerats. Detta kan vara fallet när liknande teknik används för att samla in samma slags uppgifter för samma ändamål. Till exempel kan en grupp kommunala myndigheter som var och en inför ett liknande övervakningssystem utföra en enda konsekvensbedömning som omfattar behandlingen av dessa enskilda personuppgiftsansvariga, eller en järnvägsoperatör (enskild personuppgiftsansvarig) kan täcka videoövervakning i samtliga tågstationer med en konsekvensbedömning. Detta kan även vara tillämpligt på liknande behandlingar som genomförts av olika personuppgiftsansvariga. I dessa fall bör en referenskonsekvensbedömning delas eller göras allmänt tillgänglig. Åtgärder som beskrivs i konsekvensbedömningen ska genomföras och det ska tillhandahållas en motivering varför en enda konsekvensbedömning har utförts.

text: Om behandlingen omfattar flera personuppgiftsansvariga krävs en exakt definition av deras respektive skyldigheter. Deras konsekvensbedömning ska visa vilken part som är ansvarig för de olika åtgärder som utformats för att behandla risker och för att skydda de registrerades rättigheter och friheter. Varje personuppgiftsansvarig bör uttrycka sina behov och dela användbar information utan att äventyra

text: hemligheter (t.ex. skydd av affärshemligheter, immateriella rättigheter, konfidentiell affärsinformation) eller avslöja svagheter.

text: En konsekvensbedömning kan också vara användbar för att bedöma dataskyddets konsekvenser

text: för en teknisk produkt, till exempel maskinvara eller programvara, som sannolikt kommer att användas av olika personuppgiftsansvariga för att utföra olika behandlingar. Den personuppgiftsansvarige som utnyttjar produkten är naturligtvis fortfarande skyldig att utföra sina egna konsekvensbedömningar vad gäller det särskilda genomförandet, men detta kan i förekommande fall göras genom en konsekvensbedömning som upprättats av den som tillhandahållit produkten. Ett exempel kan vara förhållandet mellan en tillverkare av smarta mätare och allmännyttiga företag. Varje tillhandahållare av produkter eller behandlare bör dela användbar information utan att äventyra hemligheter eller att avslöja svagheter så att det uppkommer säkerhetsrisker.

text: B. Vilka behandlingar är föremål för en konsekvensbedömning? Förutom vid undantag, när de ”sannolikt leder till en hög risk”.

text: I detta avsnitt beskrivs i vilka situationer en konsekvensbedömning är obligatorisk och när det inte är nödvändigt att genomföra en konsekvensbedömning.

text: Såvida behandlingen inte omfattas av ett undantag (III.B.a) ska en konsekvensbedömning utföras när behandlingen ”sannolikt leder till en hög risk” (III.B.b).

text: a) När är det obligatoriskt med en konsekvensbedömning? När behandlingen ”sannolikt leder till en hög risk”. Enligt förordningen krävs inte att en konsekvensbedömning utförs för varje behandling som kan leda till en risk för fysiska personers rättigheter och friheter. Att utföra en konsekvensbedömning är obligatoriskt endast om behandlingen ”sannolikt leder till en hög risk för fysiska personers rättigheter och friheter” (

text: artikel 35.1

text: , illustrerat av

text: artikel 35.3

text: och kompletterat av

text: artikel 35.4

text: ). Det är särskilt relevant när en ny teknik för databehandling införs .

text: I situationer där det är osäkert huruvida en konsekvensbedömning är nödvändig rekommenderar arbetsgruppen att en konsekvensbedömning ändå utförs, eftersom det är ett användbart verktyg för att hjälpa personuppgiftsansvariga att iaktta dataskyddslagstiftningen.

text: Även om en konsekvensbedömning kan krävas under andra omständigheter finns i

text: artikel 35.3

text: några exempel på när en behandling ”sannolikt leder till en hög risk”: - ”a) En systematisk och omfattande bedömning av fysiska personers personliga aspekter som grundar sig på automatisk behandling, inbegripet profilering, och på vilken beslut grundar sig som har rättsliga följder för fysiska personer eller på liknande sätt i betydande grad påverkar fysiska personer .

text: - b) Behandling i stor omfattning av särskilda kategorier av uppgifter, som avses i

text: artikel 9.1

text: , eller av personuppgifter som rör fällande domar i brottmål och överträdelser som avses i

text: artikel 10

text: . - c) Systematisk övervakning av en allmän plats i stor omfattning.”

text: Såsom orden ”framför allt” i första meningen i

text: artikel 35.3 i förordningen

text: antyder är detta inte avsett att vara en uttömmande förteckning. Det kan föreligga ”hög risk” vid behandlingar som inte omfattas av denna förteckning men som ändå medför liknande höga risker. Sådana behandlingar bör också vara föremål för konsekvensbedömningar. Av denna anledning går de kriterier som utvecklas nedan ibland utöver en enkel förklaring av vad som ska förstås med de tre exempel som ges i

text: artikel 35.3 i förordningen

text: För att tillhandahålla en mer konkret uppsättning av behandlingar som kräver en konsekvensbedömning på grund av deras inneboende höga risk, med beaktande av de särskilda elementen i artikel

text: och 35.3

text: a

text: c

text: , den förteckning som ska antas på nationell nivå enligt

text: artikel 35.4

text: och skälen 71, 75 och 91, och andra hänvisningar i förordningen till behandlingar som ”sannolikt leder till en hög risk” ska följande nio kriterier beaktas.

text: 1. Utvärdering eller poängsättning, inbegripet profilering och förutsägelse, särskilt ”aspekter avseende den registrerades arbetsprestation, ekonomiska situation, hälsa, personliga preferenser eller intressen, pålitlighet eller beteende, vistelseort eller förflyttningar” (skälen 71 och 91). Exempel på detta kan innefatta finansinstitut som granskar sina kunder mot en databas för kreditupplysning eller mot en databas för bekämpning av penningtvätt och finansiering av terrorism, eller ett bioteknikföretag som erbjuder genetiska tester direkt till konsumenter för att bedöma och förutse risker för sjukdomar/hälsorisker, eller ett företag som utvecklar profiler för beteende eller marknadsföring som grundas på användning av eller navigering på dess webbplats.

text: 2. Automatiskt beslutsfattande med rättsliga eller liknande betydande följder: behandling som har i syfte att fatta beslut om registrerade som har ”rättsliga följder för fysiska personer” eller ”på liknande sätt i betydande grad påverkar fysiska personer” (

text: artikel 35.3 a

text: ). Till exempel kan behandlingen leda till utestängning eller diskriminering av enskilda. Behandling som har liten eller ingen påverkan på enskilda uppfyller inte detta särskilda kriterium. Ytterligare förklaringar om dessa begrepp kommer att tillhandahållas i arbetsgruppens kommande riktlinjer om profilering.

text: 3. Systematisk övervakning: behandling som används för att observera, övervaka eller kontrollera registrerade, inbegripet uppgifter som har samlats in genom nätverk eller ”[s]ystematisk övervakning av en allmän plats” (

text: artikel 35.3 c

text: ) . Denna typ av övervakning är

text: ett kriterium eftersom personuppgifter kan samlas in i situationer där de registrerade kanske inte är medvetna om vem som samlar in deras uppgifter eller hur de kommer att användas. Dessutom kan det vara omöjligt för enskilda att undvika att bli föremål för sådan behandling på allmän plats (eller allmänt tillgängliga platser).

text: 4. Känsliga uppgifter eller uppgifter av mycket personlig karaktär: detta omfattar särskilda kategorier av personuppgifter såsom de definieras i

text: artikel 9

text: (till exempel information om enskildas politiska åsikter) liksom personuppgifter som gäller fällande domar i brottmål och brott såsom de definieras i

text: artikel 10

text: . Ett exempel kan vara ett allmänt sjukhus som lagrar patienternas journaler eller en privatdetektiv som sparar uppgifter om gärningsmän. Utöver dessa bestämmelser i förordningen kan vissa kategorier av uppgifter anses öka den eventuella risken för enskildas rättigheter och friheter. Sådana personuppgifter anses vara känsliga (såsom detta begrepp normalt förstås), eftersom de är kopplade till verksamhet som har samband med hushållet och privat verksamhet (såsom elektronisk kommunikation vars konfidentialitet ska skyddas), eller eftersom de påverkar utövandet av en grundläggande rättighet (såsom lokaliseringsuppgifter vars insamling medför att den fria rörligheten ifrågasätts) eller eftersom åsidosättandet av dessa rättigheter entydigt får allvarliga konsekvenser för den registrerades dagliga liv (såsom finansiella uppgifter som kan användas för betalningsbedrägeri). I detta avseende kan det ha betydelse om uppgifterna redan har offentliggjorts av den registrerade eller av tredje man. Det faktum att personuppgifterna har offentliggjorts kan beaktas som en faktor vid bedömningen av om uppgifterna förväntades användas vidare för särskilda ändamål. Detta kriterium kan även omfatta uppgifter såsom personliga dokument, e-postmeddelanden, dagböcker, kommentarer från läsplattor som är utrustade med kommentarfunktioner och mycket personlig information i applikationer som registrerar aktiviteter.

text: 5. Uppgifter som behandlas i stor omfattning: I förordningen definieras inte vad som avses med stor omfattning, även om viss vägledning ges i skäl 91. Arbetsgruppen rekommenderar i vart fall att följande faktorer beaktas särskilt vid bedömningen av huruvida behandlingen utförs i stor omfattning : a. Antalet registrerade som berörs, antingen som ett särskilt antal eller som en andel av den aktuella populationen. b. Mängden uppgifter och/eller variationen av hanterade dataelement. c. Databehandlingens varaktighet eller beständighet. d. Behandlingens geografiska omfattning.

text: 6. Matchande eller kombinerande uppgiftsserier, som till exempel kommer från två eller flera behandlingar av uppgifter som utförs i olika syften och/eller av olika personuppgiftsansvariga på ett sätt som överstiger den registrerades rimliga förväntningar .

text: 7. Uppgifter som rör sårbara registrerade (skäl 75): behandling av denna typ av uppgifter är ett kriterium på grund av en ökad maktobalans mellan de registrerade och den personuppgiftsansvarige, vilket innebär att det kan vara svårt för enskilda att på ett enkelt sätt lämna samtycke eller motsätta sig behandling av sina uppgifter eller utöva sina rättigheter. Sårbara registrerade kan omfatta barn (de kan anses inte vara i stånd att medvetet och med eftertanke motsätta sig eller lämna samtycke till behandling av sina uppgifter), anställda, mer

text: sårbara befolkningsgrupper som behöver socialt skydd (psykiskt sjuka personer, asylsökande, äldre personer, patienter osv.), samt i vart fall situationer där en obalans kan fastställas vad gäller förhållandet mellan den registrerade och den personuppgiftsansvarige.

text: 8. Innovativ användning eller tillämpning av nya tekniska eller organisatoriska lösningar, såsom en kombination av fingeravtryck och ansiktsigenkänning för förbättrad fysisk åtkomstkontroll osv. I förordningen klargörs (

text: artikel 35.1

text: och skälen 89 och 91) att användningen av ny teknik, definierad ”i enlighet med den uppnådda nivån av teknisk kunskap” (skäl 91), kan innebära att det behövs en konsekvensbedömning. Detta beror på att användningen av sådan teknik kan omfatta nya former av insamling och användning av uppgifter, eventuellt med hög risk för enskildas rättigheter och friheter. De personliga och sociala konsekvenserna av användningen av ny teknik kan vara okända. En konsekvensbedömning hjälper den personuppgiftsansvarige att förstå och hantera sådana risker. Till exempel kan vissa ”sakernas internet”-applikationer få betydande konsekvenser för enskildas dagliga liv och integritet och således kräva en konsekvensbedömning.

text: 9. Om behandlingen i sig ”hindrar de registrerade från att utöva en rättighet eller använda en tjänst eller ett avtal” (

text: artikel 22

text: och skäl 91). Detta omfattar behandlingar som syftar till att medge, ändra eller neka registrerade tillgång till en tjänst eller att ingå ett avtal. Ett exempel på detta är när en bank granskar sina kunder mot en databas för kreditupplysning för att besluta om de ska erbjudas lån.

text: I de flesta situationer kan en personuppgiftsansvarig anse att en konsekvensbedömning ska utföras om dessa två kriterier är uppfyllda. Generellt sett anser arbetsgruppen att ju fler kriterier behandlingen uppfyller, desto mer sannolikt är det att det föreligger en hög risk för de registrerades rättigheter och friheter, och att det därför krävs en konsekvensbedömning, oberoende av vilka åtgärder som den personuppgiftsansvarige planerar att vidta.

text: En personuppgiftsansvarig kan emellertid i vissa fall anse att en behandling som endast uppfyller ett av dessa kriterier kräver en konsekvensbedömning.

text: Följande exempel illustrerar hur kriterierna bör användas för att bedöma huruvida en särskild behandling kräver en konsekvensbedömning.

text: Kommer det sannolikt Exempel på behandling Eventuella relevanta kriterier att krävas en konsekvensbedömning?

text: - Känsliga uppgifter eller uppgifter av mycket personlig karaktär. Ett sjukhus behandlar patienternas genetiska - Uppgifter som rör sårbara uppgifter och hälsouppgifter registrerade. (informationssystem på sjukhus). - Uppgifter som behandlas i stor omfattning. Ja Användning av ett kamerasystem för att övervaka körbeteendet på motorvägar. Den - Systematisk övervakning. personuppgiftsansvarige planerar att använda - Innovativ användning eller ett system för intelligent videoanalys för att tillämpning av tekniska eller skilja ut bilar och automatiskt känna igen organisatoriska lösningar. registreringsskyltar.

text: Ett företag övervakar systematiskt sina - Systematisk övervakning. anställdas aktiviteter, inbegripet övervakning - Uppgifter som rör sårbara av deras arbetsstation, internetaktivitet osv. registrerade. - Utvärdering eller poängsättning. - Uppgifter som behandlas i stor omfattning. Insamling av uppgifter från offentliga sociala - Matchande eller kombinerande medier för generering av profiler. uppgiftsserier. - Känsliga uppgifter eller uppgifter av mycket personlig karaktär: - Utvärdering eller poängsättning. - Automatiskt beslutsfattande med rättsliga eller liknande betydande Ett institut inrättar en databas för följder. kreditvärdering eller bedrägerier på nationell - Hindrar de registrerade från att nivå. utöva en rättighet eller använda en tjänst eller ett avtal. - Känsliga uppgifter eller uppgifter av mycket personlig karaktär: - Känsliga uppgifter. Lagring i arkiveringssyfte av - Uppgifter som rör sårbara pseudonymiserade känsliga personuppgifter registrerade. som rör sårbara registrerade från - Hindrar de registrerade från att forskningsprojekt eller kliniska prövningar. utöva en rättighet eller använda en tjänst eller ett avtal. Behandling av ”personuppgifter från patienter - Känsliga uppgifter eller uppgifter eller klienter som behandlas av enskilda av mycket personlig karaktär. läkare, andra yrkesverksamma på - Uppgifter som rör sårbara hälsoområdet eller juridiska ombud” (skäl registrerade. 91). En nättidskrift använder en sändlista för att - Uppgifter som behandlas i stor dagligen skicka ett allmänt nyhetsbrev till Nej omfattning. sina prenumeranter. En webbplats för e-handel som visar annonser för begagnade bildelar med begränsad profilering och med utgångspunkt i - Utvärdering eller poängsättning. varor som visats eller köpts på den egna webbplatsen.

text: En behandling kan omvänt överensstämma med ovannämnda situationer, men den personuppgiftsansvarige kan ändå göra bedömningen att den ”sannolikt inte leder till en hög risk”. I sådana situationer bör den personuppgiftsansvarige motivera och dokumentera anledningarna till att en konsekvensbedömning inte utförs, och inkludera/registrera dataskyddsombudets synpunkter.

text: Dessutom, som en del av ansvarsprincipen, ska varje personuppgiftsansvarig ”föra ett register över behandling som utförts under dess ansvar”, inbegripet bland annat ändamålen med behandlingen, en beskrivning av kategorierna av uppgifter och mottagarna av uppgifter och ”[o]m möjligt, en allmän beskrivning av de tekniska och organisatoriska säkerhetsåtgärder som avses i

text: artikel 32.1

text: artikel 30.1

text: ), och den personuppgiftsansvarige måste bedöma huruvida en hög risk är sannolik, även om han eller hon till sist beslutar att inte utföra en konsekvensbedömning.

text: Anmärkning: Tillsynsmyndigheterna är skyldiga att upprätta, offentliggöra och översända en förteckning till Europeiska dataskyddsstyrelsen över de behandlingsverksamheter som omfattas av kravet på en konsekvensbedömning avseende dataskydd (

text: artikel 35.4

text: ) . De kriterier som fastställs ovan kan hjälpa tillsynsmyndigheterna att upprätta en sådan förteckning, med mer specifikt innehåll som läggs till efterhand om det är lämpligt. Till exempel kan behandlingen av alla typer av biometriska uppgifter eller uppgifter om barn anses vara relevanta för utvecklingen av en förteckning enligt

text: artikel 35.4

text: b) När krävs det inte en konsekvensbedömning? Om behandlingen inte ”sannolikt leder till en hög risk”, eller det finns en liknande konsekvensbedömning, eller den har godkänts före maj 2018, eller har en rättslig grund, eller finns med i förteckningen över behandlingar som inte kräver en konsekvensbedömning. Arbetsgruppen anser att det inte krävs en konsekvensbedömning i följande situationer: - Om behandlingen inte ”sannolikt leder till en hög risk för fysiska personers rättigheter och friheter” (

text: artikel 35.1

text: ). - Om behandlingens art, omfattning, sammanhang och ändamål är mycket lika en behandling för vilken en konsekvensbedömning har utförts. I sådana situationer kan resultat från konsekvensbedömningar för liknande behandlingar användas (

text: artikel 35.1

text: ). - Om behandlingen har kontrollerats av en tillsynsmyndighet före maj 2018 under särskilda villkor som inte har ändrats (se III.C). - Om en behandling enligt artikel 6.1

text: c

text: eller

text: e

text: har en rättslig grund i unionsrätten eller i en medlemsstats nationella rätt, om denna lagstiftning reglerar den specifika behandlingsåtgärden och om en konsekvensbedömning redan har genomförts som en del av fastställandet av denna rättsliga grund (

text: artikel 35.10

text: ) , förutom om en medlemsstat har angett att det är nödvändigt att utföra en konsekvensbedömning före behandlingen. - Om behandlingen finns med på den frivilliga förteckning (som fastställts av tillsynsmyndigheten) över behandlingar för vilka det inte krävs någon

text: konsekvensbedömning (

text: artikel 35.5

text: ). En sådan förteckning kan innehålla behandlingar som uppfyller de villkor som specificeras av myndigheten, i synnerhet genom riktlinjer, särskilda beslut eller tillstånd, bestämmelser för efterlevnad osv. (t.ex. i Frankrike, tillstånd, undantag, förenklade regler, paket för efterlevnad osv.). I sådana situationer, och med förbehåll för en omprövning av den behöriga tillsynsmyndigheten, krävs det inte någon konsekvensbedömning. Detta är endast fallet om behandlingen fullt ut omfattas av det relevanta förfarande som anges i förteckningen och fortsätter att fullt ut uppfylla alla relevanta krav i förordningen.

text: C. Vad gäller för redan befintliga behandlingar? Konsekvensbedömningar krävs under vissa omständigheter.

text: Kravet på att utföra en konsekvensbedömning är tillämpligt på befintliga behandlingar som sannolikt leder till en hög risk för fysiska personers rättigheter och friheter och där riskerna ändrats, med beaktande av behandlingens art, omfattning, sammanhang och ändamål.

text: Det krävs inte någon konsekvensbedömning för behandlingar som, i enlighet med

text: artikel 20 i direktiv 95/46/EG

text: , har kontrollerats av en tillsynsmyndighet eller dataskyddsombudet och vars genomförande inte har ändrats sedan föregående kontroll. ”Beslut av kommissionen som antagits och tillstånd från tillsynsmyndigheterna som utfärdats på grundval av direktiv

text: ska fortsatt vara giltiga tills de ändras, ersätts eller upphävs.” (Skäl 171.)

text: Omvänt innebär detta att en behandling av uppgifter vars genomförandevillkor (omfattning, ändamål, insamlade personuppgifter, de personuppgiftsansvarigas eller mottagarnas identiteter, lagringstid, tekniska och organisatoriska åtgärder osv.) har ändrats sedan den föregående kontroll som tillsynsmyndigheten eller dataskyddsombudsmannen har genomfört, och som sannolikt leder till en hög risk, bör bli föremål för en konsekvensbedömning.

text: Dessutom kan en konsekvensbedömning krävas efter en ändring av de risker som uppkommer genom behandlingen , till exempel för att ny teknik har börjat användas eller för att personuppgifter används för ett annat ändamål. Uppgiftsbehandlingen kan utvecklas snabbt och nya sårbarheter kan uppstå. Det bör därför noteras att en översyn av en konsekvensbedömning inte enbart främjar kontinuerliga förbättringar, utan även är viktig för att bibehålla nivån på uppgiftsskyddet över tid i en föränderlig miljö. En konsekvensbedömning kan också krävas på grund av förändringar i behandlingens organisatoriska eller sociala sammanhang, till exempel för att effekterna av vissa automatiska beslut har ökat i betydelse, eller för att nya kategorier av registrerade blir sårbara för diskriminering. Vart och ett av dessa exempel kan medföra att den risk som uppkommer vid den aktuella behandlingen ändras.

text: Omvänt kan vissa ändringar också minska risken. Till exempel kan en behandling utvecklas så att besluten inte längre är automatiserade eller att övervakningen inte längre är systematisk. Om detta är fallet kan en översyn av den riskanalys som gjorts visa att det inte längre krävs någon konsekvensbedömning.

text: Som god praxis bör en konsekvensbedömning ses över kontinuerligt och omvärderas regelbundet. Även om det inte krävs en konsekvensbedömning den 25 maj 2018 är det därför

text: nödvändigt för den personuppgiftsansvarige att utföra en sådan konsekvensbedömning, vid lämplig tidpunkt och som en del av dennes allmänna ansvarsskyldigheter.

text: D. Hur ska en konsekvensbedömning utföras?

text: a) Vid vilken tidpunkt ska en konsekvensbedömning utföras? Före behandlingen.

text: Konsekvensbedömningen ska utföras ”före behandlingen” (artikel

text: och

text: , skälen 90 och

text: 93) . Detta är förenligt med principerna om inbyggt dataskydd och dataskydd som standard (

text: artikel 25

text: och skäl 78). Konsekvensbedömningen bör betraktas som ett verktyg för att underlätta beslutsfattandet avseende behandlingen.

text: Konsekvensbedömningen bör påbörjas så tidigt som det är praktiskt möjligt vid utformningen av behandlingen, även om vissa delar av behandlingen fortfarande är okända. En uppdatering av konsekvensbedömningen under projektets livscykel säkerställer ett beaktande av uppgiftsskydd och integritet och uppmuntrar skapandet av lösningar som främjar överensstämmelse. Det kan även vara nödvändigt att upprepa enskilda steg av bedömningen allt eftersom utvecklingsprocessen framskrider, eftersom valet av vissa tekniska eller organisatoriska åtgärder kan påverka allvaret i eller sannolikheten för de risker som uppkommer genom behandlingen.

text: Det faktum att konsekvensbedömningen kan behöva uppdateras när behandlingen väl har påbörjats är inte ett giltigt skäl för att skjuta upp eller underlåta att utföra en konsekvensbedömning. Konsekvensbedömningen är en pågående process, särskilt om behandlingen är dynamisk och föremål för löpande förändringar. Utförandet av en konsekvensbedömning är en pågående process, inte ett

text: förfarande som vi ett enda tillfälle.

text: b) Vem är skyldig att utföra konsekvensbedömningen? Den personuppgiftsansvarige, tillsammans med dataskyddsombudet och personuppgiftsbiträdena.

text: Den personuppgiftsansvarige är ansvarig för att säkerställa att konsekvensbedömningen utförs

text: artikel 35.2

text: ). Konsekvensbedömningen kan utföras av någon annan, inom eller utanför organisationen, men den personuppgiftsansvarige har det yttersta ansvaret för denna uppgift.

text: Den personuppgiftsansvarige ska även rådfråga dataskyddsombudet, om ett sådant har utsetts (

text: artikel 35.2

text: ), och dessa råd och de beslut som den personuppgiftsansvarige fattar bör dokumenteras i konsekvensbedömningen. Dataskyddsombudet bör även övervaka genomförandet av konsekvensbedömningen (

text: artikel 39.1 c

text: ). Ytterligare vägledning finns i arbetsgruppens riktlinjer 16/EN

text: WP 243

text: om dataskyddsombud.

text: Om behandlingen helt eller delvis utförs av ett personuppgiftsbiträde bör personuppgiftsbiträdet bistå den personuppgiftsansvarige vid utförandet av konsekvensbedömningen och tillhandahålla nödvändig information (i enlighet med

text: artikel 28.3 f

text: ). Den personuppgiftsansvarige ska ”när det är lämpligt, inhämta synpunkter från de registrerade eller deras företrädare” (

text: artikel 35.9

text: ). Arbetsgruppen anser följande:

text: - Dessa synpunkter kan inhämtas på olika sätt, beroende på sammanhanget (t.ex. en allmän studie med koppling till behandlingens ändamål och medel, en fråga till företrädarna för personalen eller vanliga enkäter som skickas till den personuppgiftsansvariges framtida kunder) som säkerställer att den personuppgiftsansvarige har en laglig grund för att behandla de personuppgifter som berörs av inhämtningen av sådana synpunkter. Det bör emellertid observeras att ett samtycke till behandling uppenbarligen inte är ett sätt att inhämta synpunkter från de registrerade. - Om den personuppgiftsansvariges slutliga beslut skiljer sig från de registrerades synpunkter ska de skäl som han eller hon har för att gå vidare eller inte dokumenteras. - Den personuppgiftsansvarige ska även dokumentera sin motivering för att inte inhämta synpunkter från de registrerade, om han eller hon beslutar att det inte är lämpligt, till exempel om detta skulle äventyra företagets affärsplaner, eller vara oproportionerligt eller ogenomförbart.

text: Slutligen är det god praxis att definiera och dokumentera andra särskilda roller och skyldigheter, beroende på interna strategier, förfaranden och regler, till exempel följande: - Om särskilda affärsenheter får föreslå att en konsekvensbedömning ska utföras bör dessa enheter tillhandahålla uppgifter till konsekvensbedömningen och vara involverade i dess valideringsprocess. - När så är lämpligt rekommenderas att synpunkter inhämtas från oberoende experter från olika yrkesgrupper (jurister, it-experter, säkerhetsexperter, sociologer, etikspecialister osv.). - Personuppgiftsbiträdenas roller och ansvarsområden ska fastställas i ett avtal. Konsekvensbedömningen ska utföras med hjälp av personuppgiftsbiträdet och med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå (

text: artikel 28.3 f

text: ). - Chefen för informationssäkerhet, om en sådan har utsetts, samt dataskyddsombudet, kan föreslå att den personuppgiftsansvarige utför en konsekvensbedömning för en särskild behandling, och bör hjälpa berörda aktörer med avseende på metoden, hjälpa till att utvärdera riskbedömningens kvalitet och huruvida den kvarstående risken är godtagbar, samt utveckla kunskaper som är specifika för personuppgiftsansvariga. - Informationssäkerhetschefen, om en sådan har utsetts, och/eller it-avdelningen, bör bistå den personuppgiftsansvarige och kan föreslå att en konsekvensbedömning ska utföras avseende en viss behandling, beroende på säkerhetsbehoven eller de operativa behoven.

text: c) Vilken metod ska användas för att utföra en konsekvensbedömning? Olika metoder men gemensamma kriterier.

text: I förordningen fastställs minimikriterier för en konsekvensbedömning (

text: artikel 35.7

text: och skälen 84 och 90): - ”[E]n [...] beskrivning av den planerade behandlingen och behandlingens syften”, - ”en bedömning av behovet av och proportionaliteten hos behandlingen”, - ”en bedömning av [...] [riskerna] för de registrerades rättigheter och friheter”, - ”de åtgärder som planeras o för att hantera riskerna”, o ”för att visa att denna förordning efterlevs”.

text: Följande figur illustrerar det generella återkommande förfarandet för att genomföra en konsekvensbedömning :

text: Iakttagande av en uppförandekod (

text: artikel 40

text: ) måste beaktas (

text: artikel 35.8

text: ) vid bedömningen av konsekvenserna av en databehandling. Detta kan vara användbart för att visa att lämpliga åtgärder har valts eller vidtagits, under förutsättning att uppförandekoden är lämplig för behandlingen. Certifiering, försegling och märkning i syfte att visa att behandlingen av personuppgiftsansvariga och personuppgiftsbiträden är förenlig med förordningen (

text: artikel 42

text: ) samt bindande företagsbestämmelser bör också beaktas.

text: Alla relevanta krav som föreskrivs i förordningen utgör en bred, allmän ram för utformning och genomförande av en konsekvensbedömning. Det praktiska genomförandet av en konsekvensbedömning är beroende av de krav som fastställs i förordningen, vilka kan kompletteras

text: med mer detaljerad praktisk vägledning. Därför är genomförandet av en konsekvensbedömning skalbart. Detta innebär att även mindre registeransvariga kan utforma och genomföra en konsekvensbedömning som är lämplig för deras behandlingar.

text: I

text: skäl 90

text: i

text: förordningen

text: fastställs ett antal komponenter från konsekvensbedömningen som överlappar med välkända komponenter för riskhantering (t.ex. ISO 31000 ). I fråga om riskhantering är syftet med en konsekvensbedömning att ”hantera risker” för fysiska personers rättigheter och friheter, med hjälp av följande förfaranden, genom - att fastställa sammanhanget: ”med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt upphovet till risken”, - bedöma riskerna: ”bedöma den höga riskens specifika sannolikhetsgrad och allvar”, - hantera riskerna: ”minska denna risk” och ”säkerställa personuppgiftskyddet”, och ”visa att denna förordning efterlevs”.

text: Anmärkning: Konsekvensbedömningen enligt förordningen är ett verktyg för att hantera riskerna för de registrerade, och således tar den deras perspektiv, såsom är fallet på vissa områden (t.ex. säkerheten i samhället). Omvänt ligger fokus vid riskhantering på andra områden (t.ex. informationssäkerhet) på organisationen.

text: Enligt förordningen föreskrivs en flexibilitet för personuppgiftsansvariga vad gäller fastställandet av konsekvensbedömningens exakta struktur och form, för att denna ska kunna vara förenlig med befintliga arbetsmetoder. Det finns ett antal olika processer inom EU och globalt som beaktar de komponenter som beskrivs i skäl 90. En konsekvensbedömning ska emellertid – oberoende av form – vara en genuin riskbedömning som gör det möjligt för personuppgiftsansvariga att vidta åtgärder för att hantera riskerna.

text: Olika metoder (se bilaga 1 för exempel på metoder för uppgiftsskydd och bedömning av konsekvenserna för integriteten) kan användas för att bistå i genomförandet av de grundläggande krav som fastställs i förordningen. För att medge dessa olika tillvägagångssätt och för att personuppgiftsansvariga samtidigt ska kunna iaktta förordningen har gemensamma kriterier identifierats (se bilaga 2). Dessa kriterier klargör de grundläggande kraven i förordningen, men erbjuder tillräckligt utrymme för olika genomförandeformer. Dessa kriterier kan användas för att visa att en viss metod för konsekvensbedömning uppfyller de krav som ställs i förordningen. Det är upp

text: till den personuppgiftsansvarige att välja en metod, men denna metod bör överensstämma med kriterierna som föreskrivs i bilaga 2.

text: Arbetsgruppen uppmuntrar utveckling av sektorspecifika ramverk för konsekvensbedömning. Anledningen är att de kan utnyttja särskilda branschkunskaper, vilket innebär att konsekvensbedömningen kan hantera de särdrag som föreligger vid en viss typ av behandling (t.ex. vissa typer av uppgifter, gemensamma tillgångar, möjliga konsekvenser, hot, åtgärder). Detta innebär att konsekvensbedömningen kan hantera frågor som uppkommer inom en viss ekonomisk sektor, vid användning av viss teknik eller vid genomförande av vissa typer av behandlingar.

text: Slutligen ska”[d]en personuppgiftsansvarige [...] vid behov genomföra en översyn för att bedöma om behandlingen genomförs i enlighet med konsekvensbedömningen avseende dataskydd åtminstone när den risk som behandlingen medför förändras” (

text: artikel 35.11

text: d) Är det obligatoriskt att offentliggöra konsekvensbedömningen? Nej, men genom ett offentliggörande av sammanfattningen kan förtroende skapas. Den fullständiga konsekvensbedömningen ska meddelas tillsynsmyndigheten i fall av förhandssamråd eller om dataskyddsmyndigheten så begär.

text: Det är inte ett rättsligt krav enligt förordningen att offentliggöra en konsekvensbedömning, utan detta är den personuppgiftsansvariges beslut. Personuppgiftsansvariga bör emellertid överväga att åtminstone offentliggöra delar, såsom en sammanfattning eller slutsatserna, av sin konsekvensbedömning.

text: Syftet med ett sådant förfarande skulle vara att hjälpa till att skapa förtroende för den personuppgiftsansvariges behandlingar, och visa ansvar och transparens. Det är särskilt god praxis att offentliggöra en konsekvensbedömning om behandlingen påverkar allmänheten. Detta kan särskilt vara fallet om en offentlig myndighet utför en konsekvensbedömning.

text: Den offentliggjorda konsekvensbedömningen behöver inte innehålla hela bedömningen, särskilt om den kan innehålla särskilda uppgifter om säkerhetsrisker för den personuppgiftsansvarige eller röja affärshemligheter eller känslig kommersiell information. Under dessa omständigheter kan den offentliggjorda versionen endast bestå av en sammanfattning av de viktigaste slutsatserna i konsekvensbedömningen, eller till och med endast ett uttalande om att en konsekvensbedömning har genomförts.

text: Om en konsekvensbedömning avslöjar en hög kvarstående risk är den personuppgiftsansvarige skyldig att samråda med tillsynsmyndigheten före behandlingen (

text: artikel 36.1

text: ). Som en del av detta ska konsekvensbedömningen tillhandahållas i sin helhet (

text: artikel 36.3

text: .e). Tillsynsmyndigheten får ge råd , och kommer inte att äventyra affärshemligheter eller avslöja brister i säkerheten, med förbehåll för de principer som är tillämpliga i varje medlemsstat om allmänhetens tillgång till offentliga handlingar.

text: E. När ska tillsynsmyndigheten rådfrågas? När den kvarstående risken är hög. Såsom förklaras ovan - krävs en konsekvensbedömning om en behandling ”sannolikt leder till en hög risk för fysiska personers rättigheter och friheter” (

text: artikel 35.1

text: ; se III.B.a). Som ett exempel anses behandling av hälsouppgifter i stor omfattning sannolikt innebära en hög risk och kräver en konsekvensbedömning. - Sedan åligger det den personuppgiftsansvarige att bedöma riskerna för de registrerades rättigheter och friheter och att identifiera de planerade åtgärderna för att minska dessa risker till en godtagbar nivå och att visa att förordningen efterlevs (

text: artikel 35.7

text: ; se III.C.c). Ett exempel kan vara användning av lämpliga tekniska och organisatoriska säkerhetsåtgärder

text: (effektiv och fullständig diskkryptering, robust nyckelhantering, lämplig åtkomstkontroll, säkerställd backup osv.) vid lagring av personuppgifter på bärbara datorer, utöver befintliga strategier (meddelande, samtycke, rätt till åtkomst, rätt till invändning etc.).

text: I exemplet ovan avseende bärbara datorer kan behandlingen fortsätta utan samråd med tillsynsmyndigheten enligt lydelsen i

text: artikel 36.1

text: och skälen 84 och 94, om den personuppgiftsansvarige anses ha minskat riskerna tillräckligt. I situationer där den identifierade risken inte kan hanteras på ett tillfredsställande sätt av den personuppgiftsansvarige (dvs. den kvarstående risken fortsatt är hög) ska den personuppgiftsansvarige samråda med tillsynsmyndigheten.

text: Ett exempel på en oacceptabelt hög kvarstående risk är situationer där de registrerade kan drabbas av betydande eller till och med oåterkalleliga konsekvenser som de inte kan övervinna (t.ex. obehörig åtkomst till uppgifter som innebär risk för de registrerades liv, en uppsägning, en finansiell risk), och/eller när det förefaller uppenbart att risken kommer att inträffa (t.ex. genom att inte kunna minska antalet personer som har tillgång till uppgifterna på grund av delning, användning eller distributionsmetoder, eller om en välkänd sårbarhet inte kan avhjälpas).

text: När den personuppgiftsansvarige inte kan vidta tillräckliga åtgärder för att minska risken till en godtagbar nivå (dvs. den kvarstående risken är fortfarande hög), krävs samråd med tillsynsmyndigheten .

text: Dessutom måste den personuppgiftsansvarige samråda med tillsynsmyndigheten när det i medlemsstatens lagstiftning krävs att personuppgiftsansvariga ska samråda med, och/eller få förhandstillstånd av, tillsynsmyndigheten när det gäller en personuppgiftsansvarigs behandling för utförandet av en uppgift som den personuppgiftsansvarige utför av allmänt intresse, inbegripet behandling avseende social trygghet och folkhälsa (

text: artikel 36.5

text: Det bör emellertid påpekas att skyldigheterna att föra ett register över konsekvensbedömningen och vederbörligen uppdatera den kvarstår, oberoende av huruvida det krävs ett samråd med tillsynsmyndigheten på grund av den kvarstående risken.

text: IV. Slutsatser och rekommendationer

text: Konsekvensbedömningar är ett användbart sätt för personuppgiftsansvariga att införa databehandlingssystem som överensstämmer med förordningen och kan vara obligatoriska för vissa typer av behandlingar. De är skalbara och kan ha olika former, men i förordningen föreskrivs de grundläggande kraven för en effektiv konsekvensbedömning. Personuppgiftsansvariga bör betrakta utförandet av en konsekvensbedömning som en användbar och positiv åtgärd som stödjer efterlevnaden av lagstiftningen.

text: I

text: artikel 24.1

text: fastställs den personuppgiftsansvariges grundläggande ansvar vad gäller efterlevnaden av förordningen. ”Med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att

text: säkerställa och kunna visa att behandlingen utförs i enlighet med denna förordning. Dessa åtgärder ska ses över och uppdateras vid behov.”

text: Konsekvensbedömningen är en grundläggande del av efterlevnaden av förordningen om en behandling av uppgifter med hög risk planeras eller äger rum. Detta innebär att personuppgiftsansvariga bör använda de kriterier som föreskrivs i detta dokument för att fastställa huruvida en konsekvensbedömning måste utföras eller inte. Interna strategier för personuppgiftsansvariga kan medföra att denna förteckning utvidgas utöver de rättsliga kraven i förordningen. Detta bör leda till större förtroende och tillit från registrerade och andra personuppgiftsansvariga.

text: Om en behandling planeras som sannolikt medför hög risk ska den personuppgiftsansvarige - välja en konsekvensbedömningsmetod (exempel ges i bilaga 1) som uppfyller kriterierna i bilaga 2, eller specificera och genomföra ett systematiskt förfarande för konsekvensbedömning som o är förenligt med kriterierna i bilaga 2, o integreras med befintliga processer för utformning, utveckling, ändring, risk och operativ översyn i enlighet med interna processer och sammanhang och intern kultur, o involverar berörda parter och tydligt fastställer deras ansvarsområden (personuppgiftsansvarig, dataskyddsombud, registrerade eller deras företrädare, affärsverksamhet, tekniska tjänster, personuppgiftsbiträden och ansvarig för informationssäkerhet osv.); - tillhandahålla konsekvensbedömningen till den behöriga tillsynsmyndigheten, när det föreligger en sådan skyldighet, - samråda med tillsynsmyndigheten, om denne har misslyckats med att fastställa tillräckliga åtgärder för att minska den höga risken, - regelbundet se över konsekvensbedömningen och den behandling som den avser, åtminstone om den risk som behandlingen medför ändras, - dokumentera de beslut som fattas.

text: Bilaga 1 – Exempel på befintliga ramverk för konsekvensbedömning i EU

text: I förordningen specificeras inte vilket förfarande för konsekvensbedömning som ska följas utan i stället får personuppgiftsansvariga införa ett ramverk som kompletterar deras befintliga arbetspraxis, under förutsättning att de komponenter som beskrivs i

text: artikel 35.7

text: beaktas. Ett sådant ramverk kan vara skräddarsytt för den personuppgiftsansvarige eller gemensamt inom en viss bransch. Tidigare offentliggjorda ramverk som utvecklats av EU:s dataskyddsmyndigheter och branschspecifika ramverk omfattar (men är inte begränsade till) följande:

text: Exempel på allmänna ramverk inom EU: - DE: Standard Data Protection Model, V.1.0 – testversion, 2016 . https://www.datenschutzzentrum.de/uploads/SDM-Methodology_V1_EN1.pdf - ES: Guía para una Evaluación de Impacto en la Protección de Datos Personales (EIPD), Agencia española de protección de datos (AGPD), 2014. https://www.agpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/Guias/Gui a_EIPD.pdf - FR: Privacy Impact Assessment (PIA), Commission nationale de l’informatique et des libertés (CNIL), 2015. https://www.cnil.fr/fr/node/15798 - UK: Conducting privacy impact assessments code of practice, Information Commissioner’s Office (ICO), 2014. https://ico.org.uk/media/for-organisations/documents/1595/pia-code-of-practice.pdf

text: Exempel på branschspecifika ramverk: - Konsekvensbedömning av integritets- och uppgiftsskydd för tillämpningar som stödjs av radiofrekvensidentifiering (RFID) . http://ec.europa.eu/justice/data-protection/article-29/documentation/opinionrecommendation/files/2011/wp180_annex_en.pdf - Mall för konsekvensbedömning avseende uppgiftsskydd för smarta nät och mätarsystem . http://ec.europa.eu/energy/sites/ener/files/documents/2014_dpia_smart_grids_forces.pdf

text: En internationell standard kommer också att ge vägledning för de metoder som används vid utförandet av en konsekvensbedömning (ISO/IEC 29134 ).

text: Bilaga 2 – Kriterier för en godtagbar konsekvensbedömning

text: Arbetsgruppen föreslår följande kriterier som kan användas av personuppgiftsansvariga för att bedöma huruvida en konsekvensbedömning, eller en metod för att utföra en konsekvensbedömning, är tillräckligt omfattande för att iaktta förordningen:

text:  En systematisk beskrivning av behandlingen tillhandahålls (

text: artikel 35.7 a

text: ):  Behandlingens art, omfattning, sammanhang och ändamål beaktas (skäl 90).  Registrering av personuppgifter, mottagare och den period under vilken personuppgifterna kommer att lagras.  En funktionell beskrivning av behandlingen tillhandahålls.  De tillgångar som är nödvändiga för personuppgifterna (maskinvara, programvara, nätverk, personer, papper eller spridningskanaler för papper) är identifierade.  Efterlevnad av godkända uppförandekoder beaktas (

text: artikel 35.8

text: ).  En bedömning av behovet av och proportionaliteten hos behandlingen (

text: artikel 35.7 b

text: ):  De planerade åtgärderna för att visa att förordningen efterlevs har fastställts (

text: artikel 35.7 d

text: och skäl 90), med beaktande av följande:  Åtgärder som bidrar till att behandlingen är proportionell och nödvändig på grundval av  särskilda, uttryckligt angivna och berättigade ändamål (

text: artikel 5.1 b

text: ),  laglig behandling (

text: artikel 6

text: ),  adekvata, relevanta och inte för omfattande uppgifter (

text: artikel 5.1 c

text: ),  begränsad lagringstid (

text: artikel 5.1 e

text: ).  Åtgärder som stärker de registrerades rättigheter:  Information till den registrerade (artiklarna

text: och

text: ).  Rätt till tillgång och till dataportabilitet (artiklarna

text: och

text: ).  Rätt till rättelse och radering (artiklarna

text: och

text: ).  Rätt att göra invändningar och till begränsning av behandling (artiklarna

text: och

text: ).  Förhållandet till personuppgiftsbiträden (

text: artikel 28

text: ).  Skyddsåtgärder för internationella överföringar (kapitel V).  Förhandssamråd (

text: artikel 36

text: ).  Hantering av risker för de registrerades rättigheter och friheter (

text: artikel 35.7 c

text: ):  Uppskattning av riskens ursprung, art, särdrag och allvar (se skäl 84) eller, mer specifikt, för varje risk (obehörig åtkomst, oönskad ändring och att uppgifter försvinner) ur de registrerades perspektiv:  Beaktande av riskens ursprung (skäl 90).  Identifiering av möjliga konsekvenser för de registrerades rättigheter och friheter vid händelser, däribland obehörig åtkomst, oönskad ändring och förlust av uppgifter.  Identifiering av hot som kan leda till obehörig åtkomst, oönskad ändring och förlust av uppgifter.  Uppskattning av sannolikhetsgrad och allvar (skäl 90).  Fastställande av planerade åtgärder för att hantera dessa risker (

text: artikel 35.7 d

text: och skäl 90).  Medverkan från berörda parter:  Rådfrågan av dataskyddsombudet (

text: artikel 35.2

text: ).  När så är lämpligt, inhämtning av synpunkter från de registrerade eller deras företrädare (

text: artikel 35.9