Dataskydd
DPIA i praktiken – så gör ni en konsekvensbedömning som håller
En DPIA är inte ett dokument som ska fyllas i en gång för alla, utan ett arbetssätt för att hitta och minska risker för de registrerade. Här är när den krävs, vad den ska innehålla och hur ni gör den så att den håller även vid en granskning.
Publicerad 7 oktober 2026 · ca 7 minuters läsning
En dataskyddskonsekvensbedömning – DPIA, efter engelskans Data Protection Impact Assessment – är den analys som ska göras innan en behandling som sannolikt medför hög risk för de registrerades rättigheter och friheter sätts igång. Grunden finns i artikel 35 i GDPR, och syftet är praktiskt: att identifiera riskerna i tid och bestämma vad ni gör åt dem.
Vad en DPIA är – och vad den inte är
En DPIA är en bedömning, inte en beskrivning. Det låter som en självklarhet, men det är där de flesta faller: dokumentet blir en prydlig redogörelse för ett system, utan att någon någonsin svarar på frågan vad som kan gå fel och vad man har gjort för att förhindra det.
Utgångspunkten är alltid den enskilda människan. Vad betyder det för henne om uppgifterna hamnar fel, om ett beslut blir felaktigt, om någon obehörig får tillgång eller om hon inte längre har kontroll över sina uppgifter? Det är den frågan bedömningen ska besvara – tekniken är bara medlet.
En DPIA är inte heller ett engångsprojekt. Den beskriver en behandling vid en tidpunkt och ska hållas levande så länge behandlingen pågår.
När en DPIA krävs
Enligt artikel 35 krävs en bedömning när en typ av behandling sannolikt medför hög risk för fysiska personers rättigheter och friheter. I artikeln lyfts särskilt tre situationer fram:
- systematisk och omfattande bedömning av personliga aspekter, inklusive profilering, som ligger till grund för beslut med rättslig verkan eller som på liknande sätt påverkar personen i betydande grad,
- behandling av känsliga uppgifter i stor omfattning, till exempel hälsouppgifter eller uppgifter om lagöverträdelser,
- systematisk övervakning av en allmänt tillgänglig plats i stor omfattning.
Tillsynsmyndigheterna tar fram listor över vilka behandlingar som kräver en DPIA. I Sverige är det IMY som publicerar en sådan lista, och den är en rimlig startpunkt när ni är osäkra. Är ni fortfarande osäkra: gör en förhandsbedömning och dokumentera resonemanget, även om ni landar i att en fullständig DPIA inte behövs. En dokumenterad bedömning är alltid bättre än en tyst gissning.
En ny DPIA behöver inte göras om en likvärdig bedömning redan finns för en motsvarande behandling – men bara under förutsättning att den fortfarande beskriver hur ni faktiskt behandlar uppgifterna i dag. Risken förändras när ni byter leverantör, lägger till ett ändamål, kopplar in en ny datakälla eller flyttar uppgifterna till ett annat land. Då ska bedömningen ses över.
Vad bedömningen ska innehålla
Artikel 35.7 räknar upp fyra delar. De låter tyngre än de är, och de hänger ihop: beskrivningen är underlaget, nödvändigheten och proportionaliteten prövar om behandlingen får göras som tänkt, riskbedömningen säger vad som står på spel och åtgärderna svarar på det.
| Del | Vad den innebär |
|---|---|
| Systematisk beskrivning | Behandlingens art, omfattning, sammanhang och ändamål – och i förekommande fall det berättigade intresse som behandlingen vilar på. |
| Nödvändighet och proportionalitet | Att behandlingen är nödvändig för ändamålet, att uppgifterna inte används till något annat och att ni inte behandlar mer än vad som behövs. |
| Riskbedömning | Riskerna för de registrerades rättigheter och friheter, bedömda utifrån sannolikhet och allvarlighetsgrad. |
| Åtgärder | De åtgärder som planeras för att hantera riskerna: skyddsåtgärder, säkerhetsåtgärder och mekanismer som skyddar uppgifterna och visar att ni följer reglerna. |
Notera ordet planeras. Åtgärderna ska vara beslutade och möjliga att genomföra, inte önsketänkande i en avslutande punkt.
Så gör ni den i praktiken
En DPIA blir hanterbar om ni arbetar i tur och ordning och skriver medan ni går. Sju steg brukar räcka:
- Avgränsa behandlingen. Bestäm vad som ingår: ett system, en process eller en hel tjänst. En tydlig avgränsning gör resten överskådligt – och gör det möjligt att se när något förändras.
- Kartlägg dataflöden och leverantörer. Vilka uppgifter samlas in, varifrån kommer de, var lagras de, vem ser dem, vart skickas de och hur länge sparas de? Ta med personuppgiftsbiträden, underbiträden och eventuella överföringar till tredjeland.
- Bedöm nödvändighet och proportionalitet. Pröva varje uppgift mot ändamålet: behövs den, och finns det ett mindre ingripande sätt att nå samma resultat? Här hittar man oftast de enklaste och billigaste förbättringarna.
- Bedöm riskerna. Utgå från den registrerade, inte från systemet. Vad kan gå fel, hur sannolikt är det och hur allvarligt blir det? Tänk både på vad som kan inträffa – intrång, felaktig användning, obehörig åtkomst, felaktiga beslut – och på hur individen drabbas.
- Bestäm åtgärder och ansvariga. Varje risk ska ha ett svar: en teknisk åtgärd, en rutin, ett avtalsvillkor eller ett medvetet beslut att acceptera risken. Sätt namn och datum.
- Dokumentera ställningstagandet. Vad beslutar ni, vem har fattat beslutet och vilka risker kvarstår? Rådgivning från dataskyddsombudet ska inhämtas i förekommande fall, och det ska framgå av dokumentationen. När det är lämpligt kan ni också höra de registrerade eller deras företrädare.
- Planera omprövning. Sätt ett datum och en utlösare. Nya ändamål, nya leverantörer, ny teknik, en incident eller ändrade regler innebär att bedömningen ska upp igen.
Nyckeltips: skriv riskbedömningen ur den registrerades perspektiv i stället för systemets. En användbar mening är "om det här går fel betyder det för individen att …". Kan ni inte avsluta meningen har ni inte identifierat en risk ännu, bara ett tekniskt förhållande.
DPIA, register och leverantörsbedömning – tre olika saker
De här tre blandas ihop förvånansvärt ofta, och det leder till att något av dem blir ogjort.
Registret över behandlingar (artikel 30) är er förteckning över samtliga behandlingar ni utför. Det ska finnas hela tiden, hållas uppdaterat och beskriver vad ni gör. En DPIA är en fördjupad bedömning av en enskild behandling som sannolikt medför hög risk, och den görs innan behandlingen startar. Leverantörsbedömningen handlar om motparten: hur personuppgiftsbiträdet hanterar uppgifterna, var de behandlas, vilka underbiträden som används och vilka garantier ni har. Den är ett viktigt underlag till en DPIA, men ersätter den aldrig.
En praktisk följd: en DPIA kan visa att ni behöver byta leverantör, förhandla om villkor eller flytta en behandling. Därför ska den komma före upphandlingen, inte efter.
Fem misstag vi ser oftast
- DPIA:n görs efter att systemet är byggt. Då är de billiga lösningarna redan borta och bedömningen blir en efterhandsbeskrivning i stället för ett beslutsunderlag.
- En gammal DPIA kopieras rakt av. Formuleringarna stämmer kanske, men de beskriver en annan behandling, andra leverantörer och andra risker.
- Tekniken beskrivs, men inte risken för individer. Läsaren får veta hur systemet fungerar – men inte vad det betyder för en människa.
- Åtgärderna saknar ansvarig och datum. Utan namn och tidpunkt är listan en önskelista, och ingenting händer.
- Ingen följer upp. Bedömningen ligger kvar som ett dokument i en mapp medan verksamheten förändras.
Kom igång i rätt ordning
Börja med att lista de behandlingar ni har och markera de som sannolikt medför hög risk. Ofta räcker det för att se var ni behöver en DPIA först. Har ni AI-system som fattar eller stöder beslut om människor är de nästan alltid värda en närmare titt, både enligt GDPR och enligt EU AI Act.
Vi hjälper er att göra bedömningen praktiskt: avgränsa behandlingen, gå igenom dataflöden och avtal, sätta åtgärder med ansvar och datum och dokumentera på ett sätt som håller om IMY eller en kund ställer frågor. Läs mer om GDPR och dataskydd och om AI och AI Act, eller se hur vi arbetar med integritet i våra egna leveranser. Fler genomgångar finns under Insikter.
Nästa steg
Behöver ni få ordning på dataskyddsarbetet?
Boka ett möte på 45 minuter. Vi går igenom era behandlingar, era avtal och det som faktiskt behöver åtgärdas först.