Risikovurdering behandling personopplysninger

Strukturert risikovurdering etter GDPR art. 24, art. 25, art. 32 og art. 35.

Dette verktøyet hjelper deg å gjennomføre en strukturert risikovurdering for behandling av personopplysninger.

Ingen data lagres på serveren — alt skjer lokalt i nettleseren din. Skjemaet lagrer automatisk underveis. Du kan også lagre og importere som fil.

Dette verktøyet krever en større skjerm og er kun tilgjengelig på PC eller nettbrett.
Du har en påbegynt risikovurdering lagret. Vil du fortsette?

Behandlingsbeskrivelse

Beskriv behandlingen som skal risikovurderes.

For særlige kategorier personopplysninger (art. 9), opplysninger om lovovertredelse og straff (art. 10) og sårbare registrerte bør det gjøres en skjerpet vurdering av konsekvensene.
Angi antatt antall registrerte (personer det behandles opplysninger om) og omtrentlig antall personopplysninger per registrert. Omfanget påvirker både konsekvens og sannsynlighetsvurderingen — større omfang gir normalt høyere risiko.
Dokumentér hva som bevisst er holdt utenfor denne risikovurderingen og hvorfor — f.eks. sårbarhetsgrupper eller behandlingsaktiviteter som er vurdert som ikke relevante. Dette gjør avgrensningen av vurderingen etterprøvbar.
Velg størrelse på risikomatrisen. 4×4 er standard og enklere. 5×5 gir mer granularitet. Valget påvirker skalaen for sannsynlighet og konsekvens i steg 3.
Valg om det for hver sårbarhet skal angis hvor sikker man er på vurderingen av sannsynlighet og konsekvens. Dette kan gi bedre beslutningsgrunnlag siden en høy risiko med usikker vurdering bør undersøkes nærmere før tiltak besluttes.
Valg om risikoen skal vurderes i to trinn. Først iboende risiko (før tiltak), deretter restrisiko (etter at tiltakene er gjennomført). Samlet risikonivå og vurderingen av høy risiko i steg 5 baseres da på restrisikoen.
Velger om hver sårbarhetsgruppe i steg 2 markeres som relevant eller ikke relevant (med begrunnelse) for å dokumentere avgrensningen av vurderingen gruppe for gruppe.

Velg sårbarheter

Angi sårbarheter som er relevante for behandlingen. Del 1 er generelle sårbarheter som bør vurderes for de fleste behandlinger. Del 2 er tilleggsgrupper som velges ved behov.

Gå til del 2 ↓ 0 valgt
Del 1 — Generelle sårbarheter
▶ S1 Rettslig grunnlag og formål GDPR art. 5, 6, 9 0/2
Relevant for denne behandlingen?
▶ S2 Dataminimering og datakvalitet GDPR art. 5(1)(c)(d) 0/4
Relevant for denne behandlingen?
▶ S3 Konfidensialitet – uautorisert tilgang og spredning GDPR art. 32 0/6
Relevant for denne behandlingen?
▶ S4 Tilgangsstyring og autorisasjon GDPR art. 32 0/5
Relevant for denne behandlingen?
▶ S5 Integritet – endring og sletting GDPR art. 5(1)(d), 32 0/3
Relevant for denne behandlingen?
▶ S6 Sletting og lagringstid GDPR art. 5(1)(e), 17 0/2
Relevant for denne behandlingen?
▶ S7 Registrertes rettigheter GDPR art. 12–22 0/5
Relevant for denne behandlingen?
▶ S8 Etterlevelse og internkontroll GDPR art. 5(2), 24, 30, 33–34 0/7
Relevant for denne behandlingen?
Del 2 — Tilleggsgrupper (velg ved behov)
▶ S9 Databehandler benyttes GDPR art. 28 0/4

Personopplysninger behandles av ekstern virksomhet på vegne av behandlingsansvarlig

Relevant for denne behandlingen?
▶ S10 Overføring til tredjeland GDPR kap. V 0/3

Personopplysninger overføres til land utenfor EU/EØS, eller databehandler/underdatabehandler befinner seg i et slikt land

Relevant for denne behandlingen?
▶ S11 Kunstig intelligens og automatiserte avgjørelser GDPR art. 22, 35 0/11

Det benyttes KI-løsninger, maskinlæring eller automatisert beslutningstaking som behandler personopplysninger

Relevant for denne behandlingen?
▶ S12 Særlige kategorier personopplysninger GDPR art. 9, 10 0/3

Behandlingen omfatter helse, etnisitet, religion, politisk oppfatning, fagforeningsmedlemskap, genetiske/biometriske data, seksuelle forhold eller straffbare forhold

Relevant for denne behandlingen?
▶ S13 Høyrisiko-behandling som krever DPIA GDPR art. 35 0/2

Behandlingen kan medføre høy risiko, f.eks. ved systematisk overvåking, profilering i stor skala, ny teknologi eller behandling av særlige kategorier i stor skala

Relevant for denne behandlingen?
▶ S14 Fysiske lokaler og fysisk sikkerhet GDPR art. 32 0/3

Personopplysninger behandles på papir, på skjermer i fellesområder, eller i lokaler med ekstern tilgang

Relevant for denne behandlingen?
▶ S15 Virksomheten er selv databehandler GDPR art. 28, 29, 32 0/4

Virksomheten behandler personopplysninger på vegne av en annen behandlingsansvarlig

Relevant for denne behandlingen?
▶ S16 Bruk av personopplysninger i test og utvikling GDPR art. 5, 25, 32 0/2

Virksomheten gjennomfører systemutvikling, testing, feilsøking eller opplæring der data fra produksjonsmiljø kan benyttes

Relevant for denne behandlingen?

Vurdering

Vurder sannsynlighet og konsekvens for hver valgt sårbarhet, og beskriv tiltak.

Vurdert: 0 av 0

Sammendrag

Oversikt over risikonivåene for behandlingen.

Forklaring sannsynlighet
Forklaring konsekvens
Forklaring risiko

Godkjenning og eksport

Godkjenn risikovurderingen og eksporter den som dokument.

⚠️ Høy eller kritisk risiko registrert. Du bør begrunne aksept av risikoen og beskrive tiltaksplan.