Hvad betyder DPIA?
DPIA er forkortelsen for Data Protection Impact Assessment, på dansk en konsekvensanalyse vedrørende databeskyttelse. Den undersøger en konkret behandling af personoplysninger og dens konsekvenser for de personer, oplysningerne handler om. Det er mere end en liste over tekniske sikkerhedsforanstaltninger.
Kontrolleret 7. september 2026: Datatilsynet beskriver pligten som knyttet til behandlinger, der sandsynligvis indebærer høj risiko for personers rettigheder og frihedsrettigheder. At et projekt bruger AI, udløser ikke alene en automatisk konklusion; behandling, omfang og kontekst skal vurderes. Analysen skal gennemføres før en behandling, hvor den er påkrævet.
En DPIA skal hjælpe med at vælge og ændre løsningen. Hvis den først skrives efter indkøb, integration og lancering, er væsentlige beslutninger allerede låst. Start derfor vurderingen, mens det stadig er muligt at begrænse data, ændre funktioner eller vælge en anden arbejdsgang.
Følg oplysningerne og de berørte personer
Beskriv formål, datatyper, kilder, modtagere, opbevaring og sletning. Forklar, hvorfor behandlingen er nødvendig og forholdsmæssig, og undersøg konkrete hændelser: et forkert personmatch, en uventet videregivelse eller en vurdering, den berørte ikke kan forstå eller anfægte. Sæt foranstaltninger i relation til disse hændelser. Et generelt udsagn om kryptering besvarer eksempelvis ikke, om en medarbejder kan se flere sager end nødvendigt.
Afgør den resterende risiko og hold analysen levende
Test, om de planlagte kontroller faktisk virker, og dokumentér den risiko, der er tilbage. Hvis høj risiko ikke kan afværges, beskriver Datatilsynet krav om forudgående høring. Inddrag relevante funktioner og eventuel databeskyttelsesrådgiver. Ved ændrede datakilder, formål eller handlinger skal vurderingen gennemgås igen. En leverandørs generelle konsekvensanalyse kan være input, men kan ikke beskrive alle forhold i jeres egen anvendelse.
Et eksempel fra praksis
Illustrativt eksempel: En organisation overvejer AI til at strukturere henvendelser med oplysninger om støttebehov. Projektgruppen kortlægger, hvilke følsomme oplysninger assistenten får, hvem der læser resultatet, og hvordan en forkert kategorisering kan påvirke sagsbehandlingen. Under analysen fjernes en unødvendig sammenkobling til et andet register, og medarbejderens kontrol af kategorien gøres obligatorisk. Analysen bruges dermed til at ændre designet frem for blot at beskrive det bagefter.
Typiske faldgruber
- At forveksle risiko for virksomheden med risiko for de registreredes rettigheder.
- At bruge en leverandørskabelon uden egne dataflows og konsekvenser.
- At behandle en afsluttet DPIA som permanent godkendelse af alle udvidelser.
Det skal I afklare
- Vurdér og dokumentér, om DPIA er påkrævet før behandlingen.
- Knyt hver risiko til konkrete foranstaltninger og deres kontrol.
- Beskriv resterende risiko, ansvar og anledning til revurdering.
Spørgsmål og svar
Er en DPIA det samme som en AI-risikoklassifikation?
Nej. DPIA vedrører behandling af personoplysninger efter databeskyttelsesreglerne. AI-forordningens kategorier følger andre kriterier, selv om samme projekt kan kræve begge vurderinger.
Skal alle DPIA’er sendes til Datatilsynet?
Nej. Den dataansvarlige gennemfører og dokumenterer analysen. Forudgående høring bliver relevant, når den tilbageværende høje risiko ikke kan afværges efter reglerne.
Kilder og videre læsning
De tekniske begreber bygger på nedenstående kilder. Eksemplerne er illustrative og viser, hvordan I kan arbejde med emnet.
- Datatilsynet: Konsekvensanalyse ↗Primærkilde gennemgået 7. september 2026.
- EUR-Lex: Databeskyttelsesforordningen ↗Primærkilde gennemgået 7. september 2026.
- Datatilsynet: Kunstig intelligens ↗Primærkilde gennemgået 7. september 2026.