Konsekvensanalysen vedrørende databeskyttelse er det GDPR-dokument, en softwarevirksomhed skriver sidst og burde skrive først: den skal foreligge, før behandlingen begynder, den er stedet, hvor produktets mest risikable funktion beskrives i forordningens egne begreber, og den er det, tilsynsmyndigheden læser, når en klage nævner den funktion. Denne artikel læser artikel 35 punkt for punkt for en virksomhed, der bygger software, og giver jer siden, der afgør, om en er påkrævet, og skriver den.

Hvornår en er påkrævet: artikel 35, stk. 1, og de tre navngivne tilfælde

Artikel 35, stk. 1, kræver en analyse, hvor en type behandling, navnlig ved brug af nye teknologier, og under hensyntagen til dens karakter, omfang, sammenhæng og formål sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder. Artikel 35, stk. 3, nævner derefter tre tilfælde, hvor den under alle omstændigheder er påkrævet: (a) en systematisk og omfattende vurdering af personlige forhold baseret på automatisk behandling, herunder profilering, som ligger til grund for afgørelser med retsvirkning eller tilsvarende betydelig virkning; (b) behandling i stort omfang af de særlige kategorier i artikel 9, stk. 1, eller af strafferetlige oplysninger efter artikel 10; (c) systematisk overvågning af et offentligt tilgængeligt område i stort omfang.

For en softwarevirksomhed er det første tilfælde det, der fanger produktfunktioner: en rangering af ansøgere, en kredit- eller svigscore, en automatisk berettigelseskontrol, en afgørelse om indhold eller en konto truffet af en model. Det er en systematisk og omfattende vurdering, uanset om nogen kalder den profilering, og den tænder analysen. Det andet tilfælde fanger helbreds-, biometriske og lignende oplysninger i stort omfang, det tredje video- og sensoranalyse i det offentlige rum.

De ni kriterier bag "sandsynligvis høj risiko"

Uden for de tre tilfælde læses "sandsynligvis vil indebære en høj risiko" med de retningslinjer, som Artikel 29-Gruppen vedtog, og som Det Europæiske Databeskyttelsesråd har tilsluttet sig, og som giver ni kriterier: evaluering eller scoring; automatiske afgørelser med retsvirkning eller tilsvarende virkning; systematisk overvågning; følsomme oplysninger eller oplysninger af meget personlig karakter; oplysninger behandlet i stort omfang; matchning eller sammenstilling af datasæt; oplysninger om sårbare registrerede; innovativ brug eller anvendelse af nye teknologiske eller organisatoriske løsninger; og behandling, der forhindrer registrerede i at udøve en rettighed eller benytte en tjeneste eller en kontrakt. Retningslinjernes tommelfingerregel er, at en behandling, der opfylder to af kriterierne, i de fleste tilfælde vil kræve en analyse, og at ét kriterium kan være nok.

Artikel 35, stk. 4, kræver, at hver tilsynsmyndighed offentliggør en liste over de typer behandling, der er omfattet af analysen, og artikel 35, stk. 5, lader den offentliggøre en liste over typer, der ikke er; listerne er forskellige fra medlemsstat til medlemsstat, og jeres ledende myndigheds er den, der skal læses. Produktanalyse, der kombinerer brugsdata med kontodata, en AI-funktion anvendt på kundeindhold og enhver sporing af brugere på tværs af tjenester scorer på flere af de ni, og en virksomhed, der leverer de funktioner, er som regel inde i analysen, før den når de navngivne tilfælde.

De fire elementer: artikel 35, stk. 7

Analysen skal mindst omfatte: (a) en systematisk beskrivelse af de planlagte behandlingsaktiviteter og formålene med behandlingen, herunder i givet fald den legitime interesse, den dataansvarlige forfølger; (b) en vurdering af, om behandlingsaktiviteterne er nødvendige og står i rimeligt forhold til formålene; (c) en vurdering af risiciene for de registreredes rettigheder og frihedsrettigheder; (d) de foranstaltninger, der påtænkes for at imødegå risiciene, herunder garantier, sikkerhedsforanstaltninger og mekanismer, som kan sikre beskyttelse af personoplysninger og påvise overholdelse, under hensyntagen til de registreredes og andre berørte personers rettigheder og legitime interesser.

To yderligere stykker former dokumentet. Artikel 35, stk. 2, kræver, at den dataansvarlige rådfører sig med databeskyttelsesrådgiveren, hvor en er udpeget, og artikel 35, stk. 9, kræver, at den, hvor det er relevant, indhenter de registreredes eller deres repræsentanters synspunkter om den planlagte behandling. Artikel 35, stk. 8, lader overholdelse af godkendte adfærdskodekser indgå i analysen. Element (d) er der, hvor analysen møder sikkerhedsprogrammet: foranstaltningerne er de ISO 27001-foranstaltninger og de ISO 27701-privatlivsforanstaltninger, virksomheden allerede kører, nævnt pr. risiko frem for i almindelighed, og siden, der skriver analysen, mærker hvert element med det punkt i artikel 35, stk. 7, det besvarer.

Forudgående høring: artikel 36

Hvor analysen viser, at behandlingen ville indebære en høj risiko, hvis den dataansvarlige ikke træffer foranstaltninger for at begrænse risikoen, kræver artikel 36, stk. 1, at den dataansvarlige hører tilsynsmyndigheden inden behandlingen. Artikel 36, stk. 2, giver myndigheden otte uger til at give skriftlig rådgivning, som kan forlænges med seks uger under hensyntagen til behandlingens kompleksitet, og lader den bruge enhver af sine beføjelser efter artikel 58. Artikel 36, stk. 3, opregner, hvad høringen leverer: den dataansvarliges, de fælles dataansvarliges og databehandlernes ansvar, formålene og hjælpemidlerne, foranstaltningerne og garantierne, rådgiverens kontaktoplysninger, selve analysen og alt andet, myndigheden anmoder om. I praksis er høringen sjælden, fordi element (d) skrives for at bringe restrisikoen ned; siden stiller spørgsmålet om restrisiko til sidst og skriver kun afsnittet om artikel 36, når svaret er, at en høj risiko består.

Gennemgangen, og bøden

Artikel 35, stk. 11, kræver, at den dataansvarlige gennemgår analysen, hvor det er nødvendigt, i det mindste når der sker en ændring af den risiko, behandlingsaktiviteterne udgør; en ny model, en ny datakilde eller et nyt formål er en sådan ændring. Artikel 83, stk. 4, litra a, sætter loftet for en overtrædelse af artikel 35 og 36 til EUR 10 millioner eller 2 % af den samlede globale årlige omsætning, og myndighedernes afgørelser om analysen drejer sig om to konstateringer: om en fandtes, før behandlingen begyndte, og om dens element (d) nævnte foranstaltninger, som derefter faktisk blev kørt.

At skrive den

Siden med konsekvensanalysen stiller de tre spørgsmål i artikel 35, stk. 3, med forordningens egne ord, derefter spørgsmålet efter artikel 35, stk. 1, hvor ingen af dem gælder, skriver læsningen med bestemmelsen bag, og tager de fire elementer som indtastninger mærket med selve punktet; spørgsmålet om restrisiko afgør, om afsnittet om artikel 36 tilføjes. Resultatet er analysen som dokument til at kopiere eller downloade, én pr. behandlingsaktivitet, gemt ved siden af den fortegnelse over behandlingsaktiviteter, der beskriver aktiviteten; bestemmelsen af forpligtelserne giver sine tre svar videre, så spørgsmålene stilles én gang.