Publisert: 13.11.2024
Du plikter å spørre den registrerte om behandlingen når du gjør en DPIA
Når du skal gjøre en personvernkonsekvensvurdering eller en DIPA (Data Protection Impact Assessment), er det et krav i GDPR artikkel 35 nr. 9 at du skal «innhente synspunktene på den planlagte behandlingen fra de registrerte eller den registrertes representanter».
Bestemmelsen understreker at du skal innhente den registrertes mening dersom det er «relevant».
Artikkel 29-gruppen har i sin veileder på DPIA, uttalt følgende:
The controller should also document its justification for not seeking the views of the data subjects, if it decides that this is not appropriate, for example if doing so would compromise the confidentiality of the companies’ business plans, or would de disproportionate or impracticable.
Det betyr at det skal en del til før du kan unnlate å innhente den registrertes mening.
Beskrivelse av metoden
I den nasjonale DPIAen for bruk av Google Workspace for Education har vi innhentet den registrertes mening i form av representanter fra disse organisasjonene:
- Elevorganisasjonen
- Foreldreutvalget for grunnopplæringa (FUG)
- Utdanningsforbundet
Organisasjonene ga oss en liste med navn på medlemmer som var interessert i å la seg intervjue av oss. Vi tok kontakt med hver enkelt og avtalte dato for intervju.
I forkant av intervjuet sendte vi den enkelte en beskrivelse av hvordan personopplysninger behandles i Google Workspace for Education. Denne beskrivelsen tilsvarer i stor grad den systematiske beskrivelsen av behandlingsaktiviteter som gjerne er del 1 i en DPIA. Imidlertid måtte den forenkles slik at det skulle være enkelt for de som ble intervjuet å forstå.
Under intervjuet presenterer vi dette muntlig, og så stilte vi to spørsmål:
- Hvilke personvernbekymringer har du nå som du vet litt mer om hvordan personopplysninger behandles i Google Workspace for Education?
Dette er en litt mer folkelig måte å spørre den registrerte om personvernrisiko:
- Hva ønsker du at vi skal gjøre med det?
Her prøvde vi å få innsikt i om den registrerte hadde forslag til risikoreduserende tiltak som vi kunne implementere.
Etter intervjuene skrev vi referat som den vi hadde intervjuet fikk til verifisering. Så oppsummerte vi alle tilbakemeldingene i en egen rapport.
Deretter brukte vi dem til å guide oss i hvilke risikoscenarioer som skulle bli en del av DPIAen.
Få veiledning på LinkedIn Live
Tirsdag 19. november 2024 fra kl. 12.00 til 13.00 holder vi en LinkedIn Live hvor vi deler erfaringene vi har gjort oss fra hvordan innhente den registrertes mening i forbindelse med en DPIA. Vi har nemlig gjort to slike øvelser, en for Google-DPIAen og en for en DPIA av tjenester fra Learnlab.
Så meld deg på her for LinkedIn Live tirsdag 19.11.24 kl. 12.00 til 13.00 om hvordan innhente den registrertes mening! https://www.linkedin.com/events/hvordaninnhentedenregistrertesm7259173539977613312/comments/
Vi kommer til å snakke om:
- Hva er de to spørsmålene du kan koke innhenting av den registrertes mening ned til?
- Når i DPIA-prosessen bør du innhente den registrertes mening?
- Hvorfor er dette noe som det i det hele tatt er verdifullt at du gjør ifbm en DPIA?
- Hva er de registrerte egentlig opptatt av? Vi deler våre erfaringer!
Rapportene fra den registrertes mening i Google-DPIAen
Så hva mener egentlig de registrerte om hvordan personopplysninger behandles i Google Workspace for Education?