Konsekvensbedömning enligt dataskyddsförordningen – Ange systemnamn

Övergripande information

Personuppgiftsansvarig för behandlingen
Organisation (inkl. organisationsnummer)	Mittuniversitetet 202100-4524
Adress	Holmgatan 10 851 70 Sundsvall
Telefon	+46 (0)10-142 80 00
E-post	Registrator@miun.se

Kontaktuppgifter till Dataskyddsombud
Organisationens Dataskyddsombud	Madhusha Silva
E-post	dataskyddsombud@miun.se

Ansvariga för konsekvensbedömningen
Ansvarig för att genomföra konsekvensbedömningen	Förnamn, efternamn, avdelning/institution systemägare
Ansvarig för innehållet i konsekvensbedömningen och bedömningar som görs	Förnamn, efternamn, avdelning/institution systemansvarig Namn och roll på övriga deltagare
Roller som deltagit i arbetet med att genomföra konsekvensbedömningen	Förnamn, efternamn, avdelning/institution systemansvarig Namn och roll på övriga deltagare
Ansvarig för att hantera eventuella kvarvarande risker efter att konsekvensbedömningen avslutats	Förnamn, efternamn, avdelning/institution systemansvarig
Ansvarig för att följa upp konsekvensbedömningen	Förnamn, efternamn, avdelning/institution systemansvarig

Systematisk beskrivning av personuppgiftsbehandlingen

Behandlingens art

Allmän beskrivning och bakgrund

Avgränsa och beskriv objektet för konsekvensbedömningen. Ge en bakgrund och beskriv vad som föranlett den planerade behandlingen. När personuppgiftsbehandlingen ska beskrivas är det lämpligt att börja med att definiera och avgränsa konsekvensbedömningens objekt, dvs. den aktuella produkten, tjänsten, programvaran eller processen. Det bildar en ram för den mer detaljerade beskrivningen av behandlingen som ska göras senare och tydliggör behandlingens kontext. Den inledande beskrivningen kan även innehålla en bakgrund till att behandlingen planeras (exempelvis att det har skett en verksamhetsförändring eller lagändring). Om det är ett komplext system som tas i bruk blir det ibland fråga om flera olika typer av behandlingar i samma system. Då är det ofta lämpligt att dela upp beskrivningen i flera delar.

Ett system för xxxx införs för universitetet. Upphandlad tjänst via Sunet som används av ett stort antal lärosäten i Sverige. Införandet genomförs för att xxxxxx. En bedömning av behovet av konsekvensbedömning har genomförts och resulterat i att en konsekvensbedömning måste genomföras, MIUN 202x/xxx. Systemet kommer att användas för xxx Syftet är att xxx

Kategorier av personuppgifter

Lista de kategorier av personuppgifter som kommer att behandlas. Använd en rad för varje kategori och lägg till så många rader i tabellen som behövs. Exempel på typer av personuppgifter kan vara uppgifter om ålder, kön, utbildning, lön, bildmaterial på människor, ljudupptagning av röster. Det är inte alltid självklart vad som är en personuppgift. Kom ihåg att tekniska data (exempelvis IP-adresser), spårningsdata (exempelvis kakor) eller registreringsnummer på bilar också kan vara personuppgifter.

Om tabellen blir omfattande kan det vara lämpligt att i stället lägga den som en bilaga till konsekvensbedömningen.

Ange i höger kolumn om någon av följande kategorier gäller:

sådana kategorier av personuppgifter som anges i artikel 9 och artikel 10 i dataskyddsförordningen

personuppgifter som är integritetskänsliga av andra skäl (till exempel för att de rör enskildas ekonomiska eller personliga förhållanden)

personnummer eller samordningsnummer

personer som befinner sig i beroendeställning (exempelvis anställda, patienter eller elever)

barn eller andra sårbara personer (exempelvis äldre, eller personer med funktionsvariationer)

Ta bort de personuppgifter som inte är aktuella och komplettera vid behov.

Kategori av personuppgifter	Särskild kategori av personuppgifter
namn adress e-postadresser ålder kön utbildning lön id-kortnummer telefonnummer foton på personer video på personer ljudinspelningar elektroniska identiteter som IP-adresser och cookies, om de kan kopplas till en fysisk person	ras eller etniskt ursprung politiska åsikter religiös eller filosofisk övertygelse medlemskap i en fackförening hälsa en persons sexualliv eller sexuella läggning genetiska uppgifter biometriska uppgifter som används för att entydigt identifiera en person. personnummer samordningsnummer betyg värderande uppgifter, till exempel uppgifter f från utvecklingssamtal, uppgifter om resultat från personlighetstester eller personlighets- profiler uppgifter om sociala förhållanden anställda patienter studenter barn äldre personer med funktionsvariationer

Kategorier av registrerade

Lista de kategorier av registrerade vars personuppgifter kommer att behandlas. Använd en rad för varje kategori och lägg till så många rader i tabellen som behövs. Om tabellen blir omfattande kan det vara lämpligt att istället lägga den som en bilaga till konsekvensbedömningen.

Ange i höger kolumn om någon av följande kategorier gäller:

• personer som befinner sig i beroendeställning (exempelvis anställda, patienter eller elever)

• barn eller andra sårbara personer (exempelvis äldre, eller personer med funktionsvariationer)

Ta bort de kategorier som inte är aktuella och komplettera vid behov.

Kategori av registrerade	Särskild kategori av registrerade
Studenter Anställda

Behandlingens omfattning

Behandlingens volym

Gör en uppskattning av antalet individer som berörs av behandlingen och den totala mängd personuppgifter som kommer att behandlas. Beskriv även antalet kategorier av personuppgifter (variationen).

Beakta hur ofta personuppgifter kommer att samlas in

.

Behandlingens geografiska omfattning

Beskriv i vilka länder uppgifterna kommer att behandlas. Ange om det kommer bli fråga om länder utanför EU/EES, s.k. tredjelandsöverföringar.

Ta bort det som inte är aktuellt och komplettera med leverantörens namn

Uppgifterna behandlas inom Sverige/EU. XXX utvecklar och driver systemet helt i egen regi. Uppgifterna behandlas utanför EU/EES genom s.k tredjelandsöverföring

Behandlingens sammanhang

Beskriv behandlingen i ett större perspektiv, dvs. de interna och externa faktorer som har relevans för det sammanhang där behandlingen ska ske. Det kan exempelvis handla om

tidigare erfarenheter av liknande behandlingar eller att detta saknas

att verksamheten tidigare upplevt problem vid liknande behandlingar

att behandlingen är innovativ på något sätt

att behandlingen kan tänkas bli ifrågasatt eller upplevas som oförutsägbar

den utsträckning i vilken enskilda kommer att ha kontroll över sina personuppgifter

relevanta uppförandekoder eller andra certifieringssystem.

Systemet kommer att användas för xxxx

Behandlingens ändamål

Beskriv anledningen till att den personuppgiftsansvarige vill genomföra behandlingen och fördelarna med den (t.ex. för verksamheten, allmänheten och tredje parter). Beskriv även det avsedda utfallet för enskilda. Ändamålet ska anges så noggrant, utförligt och tydligt som möjligt.

Uppgifterna om ändamålet kan hämtas från förteckningen, om den är framtagen

Nödvändiga resurser

Beskriv de resurser och informationstillgångar som behövs för att genomföra personuppgiftsbehandlingen (t.ex. programvara, servrar, hårdvara, nätverk, molntjänster, m.m.).

Funktionell beskrivning av behandlingen

Beskriv hur behandlingen ska gå till mer i detalj och varifrån personuppgifterna kommer. Av den funktionella beskrivningen bör det framgå hur personuppgifterna ska samlas in och varifrån de kommer (exempelvis om de kommer direkt från den registrerade via enkäter, webbformulär eller intervjuer, eller om de ska hämtas in utan den registrerades vetskap via offentliga uppgiftssamlingar eller databaser). Det bör framgå hur registreringen och informationsöverföringen av uppgifterna ska gå till (exempelvis om pappersenkäter ska skickas till en inläsningscentral eller om några uppgifter ska lämnas via telefon eller något digitalt verktyg). Det bör även tydliggöras vilka system som ska användas i de olika delarna av behandlingen, hur länge personuppgifterna ska lagras och rutinerna för radering eller anonymisering Om det är fråga om en komplex behandling kan det vara lämpligt att hänvisa till en bilaga som innehåller ett flödesschema, en tabell eller liknande.

Beskriv hur flödet av personuppgifter hanteras inom systemet

Flödet vid användning av xxx är följande:

Roller och ansvarsfördelning

Personuppgiftsansvar

Specificera den eller de personuppgiftsansvariga, dvs. de aktörer som ensamt eller tillsammans bestämmer ändamålen och tillvägagångssätten för behandlingen av personuppgifterna. Ange om behandlingen innebär ett separat eller gemensamt personuppgiftsansvar för de personuppgiftsansvariga.

Lista vilka avtalsdokument som anger ansvarsfördelningen mellan de personuppgiftsansvariga

.

Mittuniversitetet

Mottagare inklusive personuppgiftsbiträden

Ange om personuppgifter kommer att överföras till externa mottagare och i så fall vilka. Ange även om personuppgiftsbiträden kommer att vara involverade i behandlingen och vilka tjänster dessa ska tillhandahålla.

Lista eventuella personuppgiftsbiträdesavtal.

Ta bort uppgifterna om det inte finns något personuppgiftsbiträde

Personuppgiftsbiträde	Kategorier av person­ uppgifter som behandlas av biträdet	Ändamål med biträdets behandling
Ange namn på personuppgiftsbiträdet. Ange namn på underbiträden eller skriv om det inte finns några underbiträden.	Se tidigare beskrivning av personuppgifter	Uppfyllande av avtal – MIUN 202x/XXXX

Rättslig analys

Gällande regelverk

Gör en sammanställning över de regelverk som gäller för den aktuella behandlingen. Utöver dataskyddsförordningen och dataskyddslagen kan exempelvis marknadsföringslagar och myndighetsspecifik registerlagstiftning aktualiseras. Beakta även antagna uppförandekoder, genomförda certifieringar och branschpraxis

Ta bort eller komplettera med gällande regelverk

Offentlighets- och sekretesslagen Arkivlagen MSB:s föreskrifter 2020:6-8 Etikprövningslagen Policy och riktlinjer för hantering av forskningsdata på Mittuniversitetet Policy och riktlinjer för informationssäkerhet på Mittuniversitetet Patientdatalagen Högskoleförordningen

Dataskyddsprinciperna och den rättsliga grunden för behandlingen

Principen om laglighet, korrekthet och öppenhet

Beskriv hur ni garanterar att principen följs.

Laglighet

För att uppfylla principen om laglighet måste bestämmelserna i dataskyddsförordningen och annan kompletterande lagstiftning följas

Korrekthet

Att personuppgifter ska behandlas korrekt innebär på ett generellt plan att behandlingen ska vara rättvis, skälig, rimlig och proportionerlig i förhållande till de registrerade. Att behandlingen ska vara rättvis innebär att personuppgifter ska behandlas på ett sätt som den registrerade kan förvänta sig, och att den inte får vara diskriminerande. Personuppgiftsbehandlingen ska stå i rimlig proportion till nyttan den innebär.

Öppenhet

Kravet på öppenhet innebär att det ska vara klart och tydligt för de registrerade att och hur deras personuppgifter behandlas. De registrerade ska ha möjlighet att få veta varför deras personuppgifter behandlas, hur de samlas in och hur uppgifterna används. De registrerade ska också bli informerade om sina rättigheter (exempelvis hur de kan få felaktiga uppgifter rättade och hur de kan få personuppgifter raderade).

Exempel på frågor för att kontrollera att principen följs:

Laglighet

• Följer verksamheten bestämmelserna i gällande lagstiftning?

• Finns det en rättslig grund för behandlingen (samtycke 6.1a, avtal 6.1b, rättslig förpliktelse 6.1c, skydd av grundläggande intresse 6.1d, myndighetsutövning och allmänt intresse 6.1e, intresseavvägning 6.1f)?

• Om den rättsliga grunden är intresseavvägning, har intresseavvägningen dokumenterats?

• Om den rättsliga grunden är samtycke, är samtycket frivilligt, specifikt, informerat och otvetydigt i dataskyddsförordningens mening?

• Om den rättsliga grunden är samtycke, kan samtycket återkallas?

Korrekthet

• Sker behandlingen på ett sätt som den registrerade rimligen kan förvänta sig?

Öppenhet

• På vilket sätt informeras de registrerade om behandlingen av personuppgifter?

• Är informationen lättillgänglig för de registrerade?

• Är informationen anpassad till målgruppen (t.ex. barn)?

• Finns det rutiner för att uppdatera informationen?

Försök att besvara frågorna till varje område.

Laglighet – Korrekthet – Öppenhet –

Rättslig grund för behandlingen

Ange den rättsliga grunden för behandling av personuppgifter. Var noga med att ange om det finns flera rättsliga grunder, dvs. om olika kategorier av personuppgifter eller olika led i behandlingen har stöd i olika rättsliga grunder.

Om den rättsliga grunden är samtycke bör det framgå av beskrivningen hur samtycket dokumenteras och administreras samt hur den registrerade kan återkalla sitt samtycke.

Om den rättsliga grunden är intresseavvägning bör den bedömning som gjorts vid avvägningen mellan den personuppgiftsansvariges intresse och de registrerades intresse noga dokumenteras.

Ange vilka olika rättsliga grunder som är aktuella för olika delmoment i behandlingen, ta bort de som inte är aktuella, om samma rättsliga grund används för flera delmoment lägg in flera rader.

Beskrivning av behandlingen (ev. delmoment)	Personuppgifter som behandlas	Rättslig grund	Kommentar
Art 6.1a - Samtycke
Art 6.1b - Avtal
Art 6.1e – Allmänt intresse.
Art 6.1 c – Rättslig förpliktelse

Rättsligt stöd för behandling av vissa kategorier av personuppgifter

Om särskilda kategorier eller särskilt skyddsvärda personuppgifter ska behandlas ange vilket undantag som är tillämpligt på behandlingen (förutom den rättsliga grunden ovan)

För särskilda kategorier av personuppgifter se undantagen i artikel 9.2 i dataskyddsförordningen

För personuppgifter som rör fällande domar i brottmål samt lagöverträdelser som innefattar brott se artikel 10 i dataskyddsförordningen

För personnummer och samordningsnummer se 10§ i dataskyddslagen

Personuppgifter	Tillämpligt undantag	Kommentar
Se uppgifter ovan	Se uppgifter ovan

Principen om ändamålsbegränsning

Beskriv hur ni garanterar att principen följs. Principen om ändamålsbegränsning innebär att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte får behandlas på ett sätt som är oförenligt med dessa ändamål. Ändamålet ska definieras innan behandlingen påbörjas och ska vara noggrant specificerat. Ändamålet med behandlingen är avgörande för att bedöma vilka uppgifter som är nödvändiga att behandla, vilken rättslig grund som behandlingen kan stödjas på och för att uppfylla övriga grundläggande dataskyddsprinciper.

Exempel på frågor för att kontrollera att principen om ändamålsbegränsning följs:

• Har ändamålet/ändamålen dokumenterats och hur?

• Är ändamålet så konkret och specifikt beskrivet att det är enkelt att fastställa att behandlingen är förenlig med detta?

• Har behandling av uppgifterna för andra ändamål än de fastställda begränsats genom exempelvis avtalsklausuler, riktlinjer eller andra säkerhetsåtgärder?

Principen om uppgiftsminimering

Beskriv hur ni garanterar att principen följs. Principen om uppgiftsminimering innebär att de personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till ändamålen som de behandlas för. Beskriv hur (genom vilka åtgärder) det ska säkerställas att enbart personuppgifter som behövs för ändamålet kommer att behandlas. Det bör även framgå att den personuppgiftsansvarige har övervägt om det finns alternativa sätt att utföra behandlingen som är lika effektiva för att uppnå syftet, men som i mindre utsträckning gör intrång i enskildas grundläggande fri- och rättigheter (exempelvis genom att de medför en begränsad uppgiftsinsamling eller kräver mindre detaljerade uppgifter). Om ändamålet kan uppnås utan att vissa uppgifter behandlas, är behandlingen av just dessa personuppgifter inte nödvändig och ska inte utföras.

Exempel på frågor för att kontrollera att principen om uppgiftsminimering följs:

• Framgår det tydligt varför de personuppgifter som ska behandlas behövs för att uppfylla ändamålet med den aktuella behandlingen?

• Har ni kontrollerat att inga uppgifter samlas in enbart ”för att de kan vara bra att ha”?

• Fritextfält i formulär: Är det nödvändigt att använda sådana? Ges det tydliga instruktioner om vad som ska anges i fritextfälten (för att motverka insamling av onödiga uppgifter)? Framgår det tydligt vilka fält som är frivilliga respektive obligatoriska? Är de frivilliga fälten verkligen nödvändiga för att uppnå ändamålet med behandlingen?

• Kamerabevakning: Är det nödvändigt att samla in uppgifter från hela kamerans upptagningsområde eller bör vissa delar maskeras digitalt?

Personuppgift	Behandlingen är nödvändig för att

Principen om riktighet

Beskriv hur ni garanterar att principen följs. Personuppgifter som behandlas ska vara riktiga och (om nödvändigt) uppdaterade. Om personuppgifterna inte stämmer ska uppgifterna rättas eller raderas. Det är därför viktigt att det finns rutiner för att upptäcka fel och för att korrigera och ta bort oriktiga personuppgifter när registrerade begär det.

Exempel på frågor för att kontrollera att principen om riktighet följs:

• Är uppgifterna statiska eller kräver de uppdateringar?

• Hur säkerställs att felaktiga uppgifter rättas?

• Hur ofta ska uppgifternas riktighet kontrolleras?

• Kan den registrerade själv påverka uppgifternas korrekthet och vid behov uppdatera dem?

• Hur säkerställs att uppgifter som har mottagits från en annan verksamhet är korrekta?

• Hur säkerställs att de insamlade uppgifterna gäller rätt person?

Principen om lagringsminimering

Beskriv hur ni garanterar att principen följs. Principen om lagringsminimering innebär att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Den planerade lagringstiden bör därför motiveras utifrån vad som är nödvändigt för syftet med behandlingen. Eftersom det som är nödvändigt inte alltid är proportionerligt, behöver även proportionaliteten motiveras. Det är viktigt att det finns rutiner för gallring av personuppgifter.

Exempel på frågor för att kontrollera att principen om lagringsminimering följs:

• För vilka ändamål ska uppgifterna behandlas och hur länge ska de behandlas?

• Kommer uppgifterna att raderas när de inte längre behövs och hur ska det gå till i praktiken?

• Finns det lagkrav som bestämmer lagringstiden för de personuppgifter som behandlas?

• Kommer det att vara möjligt att använda automatisk radering av uppgifter när lagringstiden har löpt ut, eller ska uppgifterna raderas manuellt?

• Om radering inte är lämpligt, kommer personuppgifterna att anonymiseras

Styrs utifrån Mittuniversitetets informationshanteringsplan.

Principen om integritet och konfidentialitet

Beskriv hur ni garanterar att principen följs. Den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att trygga personuppgifternas integritet och konfidentialitet.

Integritet handlar om att uppgifterna förblir oförändrade när de behandlas, överförs och lagras. Personuppgifterna ska alltså skyddas mot att obehörigen gå förlorade, förstöras eller redigeras avsiktligt eller av misstag. Med konfidentialitet avses att personuppgifterna endast ska vara tillgängliga för dem som på grund av sina arbetsuppgifter har behov av och rätt att få tillgång till dem. Personuppgifterna ska skyddas så att de inte kan läsas eller på annat sätt behandlas av obehöriga.

Exempel på frågor för att kontrollera att principen följs:

Integritet

Finns det riktlinjer eller rutiner för hur uppgifter får ändras och av vem?

Görs säkerhetskopior och hur ser rutinerna för det ut?

Sker loggning när uppgifterna ändras?

Konfidentialitet

Finns det rutiner och åtgärder för behörighetsstyrning?

Finns det tillämpliga sekretessbestämmelser för uppgifterna?

Har de personer som ska hantera uppgifterna en tillräckligt god kännedom om konfidentialitet och gällande sekretess?

Registrerades rättigheter

Beskriv vilka rutiner organisationen har för att kunna tillgodose de registrerades rättigheter enligt dataskyddsförordningen, dvs.

Rätten till information

Rätten till tillgång

Rätten till rättelse

Rätten till radering

Rätten till begränsning av behandling

Rätten till dataportabilitet

Rätten att göra invändningar

Rätten att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering

I de fall det finns rutindokument som bedöms ge en tillräckligt utförlig beskrivning kan hänvisning göras till dessa.

Exempel på frågor för att kontrollera att de registrerades rättigheter kan tillgodoses:

• Hur får de registrerade hjälp att utöva sina rättigheter enligt dataskyddförordningen?

• Finns det ett formulär eller någon annan kontaktkanal för registrerade som vill utöva sina rättigheter?

• Är informationen lätt att hitta för de registrerade?

• Finns det en process för att hantera de registrerades begäranden?

• Finns det en ansvarig person som säkerställer att de registrerades rättigheter kan tillgodoses?

• Får de registrerade tydlig och tillräcklig information om behandlingen av sina personuppgifter?

• Kan alla uppgifter som gäller de registrerade sammanställas?

• Kan en kopia av de registrerades uppgifter tas fram på ett enkelt sätt?

• Går det att lämna uppgifterna i elektronisk form om de registrerade begär det?

• Hur fungerar rutinen för att radera personuppgifter om registrerade återkallar sitt samtycke till behandlingen?

• Hur raderas uppgifterna i praktiken (manuell eller automatiserad radering)?

• Finns det hinder för raderingen (som lagstadgade lagringstider eller liknande)?

• Hur utövas rätten till dataportabilitet i praktiken? Är det tekniskt möjligt?

• Omfattar behandlingen av personuppgifter automatiserat beslutsfattande som i betydande grad påverkar den registrerade? Om ja, vad baseras detta på?

Skyddsåtgärder för internationella överföringar

Om personuppgifter kommer att överföras till ett land utanför EU/EES i samband med behandlingen, ange de skyddsåtgärder som vidtagits nedan.

Exempel på säkerhetsåtgärder som kan göra tredjelandsöverföringen tillåten är

bindande företagsbestämmelser,

standardavtalsklausuler

beslut från EU-kommissionen om adekvat skyddsnivå.

Sammantagen bedömning

Ange den samlade bedömningen av om de rättsliga förutsättningarna för att genomföra behandlingen

är uppfyllda (inkluderat bedömningen av behovet av och proportionaliteten hos behandlingen i förhållande till syftena med den). Den sammantagna bedömningen bör leda till ett ställningstagande av om behandlingen, i den form som planeras, uppfyller de rättsliga förutsättningarna i dataskyddsförordningen och kompletterande lagstiftning. Om behandlingen inte uppfyller de rättsliga förutsättningarna ska behandlingen inte genomföras på det sätt som planeras.

Komplettera den sammantagna bedömningen och ta bort delar som inte är aktuella.

Vi har kommit fram till att vi kan godkänna xxxxxx, Utifrån framtagna uppgifter anser vi att behandlingen är nödvändig och proportionerlig i förhållande till syftena med den. Den planerade behandlingen, i den form som vi har planerat, uppfyller de rättsliga förutsättningarna i dataskyddsförordningen och kompletterande lagstiftning.

Riskhantering

Använd Excelmallen Riskhantering vid konsekvensbedömning för att

identifiera de risker för fysiska personers fri-och rättigheter som behandlingen innebär

I första hand deras rätt till skydd för sina personuppgifter, sitt privatliv och sin integritet, men även andra grundläggande rättigheter (exempelvis yttrandefrihet, tankefrihet, fri rörlighet, förbud mot diskriminering, samvetsfrihet och religionsfrihet).

analysera riskernas sannolikhet och allvarlighet

Sannolikheten för att risken ska realiseras anges som osannolik, liten sannolikhet, påtaglig sannolikhet eller mycket stor sannolikhet.

Allvarlighetsgraden av konsekvenserna bedöms som försumbar, lindrig, kännbar, allvarlig

beskriva de riskreducerande åtgärderna

Exempel på riskreducerande åtgärder för att hantera viss risk

Risken att fler personuppgifter samlas in än vad som är nödvändigt för ändamålen med behandlingen på grund av att fritextfält används för att samla in uppgifter.

• Ge information i anslutning till fritextfält om vilka uppgifter som är nödvändiga.

• Inför och genomför regelbundna kontroller, exempelvis stickprov av att de uppgifter som samlas in är nödvändiga.

Risken att system som automatiskt ska radera uppgifter utifrån de lagringsperioder som fastställts inte fungerar som det är tänkt, och att uppgifter därmed lagras under längre tid än vad som är nödvändigt.

• Genomför robusta tester av systemet.

• Inför och genomför regelbundna kontroller, exempelvis stickprov av resultatet av systemet.

Risken att rutiner för manuell radering av uppgifter utifrån de lagringsperioder som fastställts inte följs av personalen, och att uppgifter lagras under längre tid än vad som är nödvändigt.

• Genomför regelbundna utbildningsinsatser och andra aktiviteter för att påminna om vikten av att följa rutiner för manuell radering.

• Säkerställ att rutiner för manuell gallring är enkla att följa.

• Införliva hänvisningar till rutiner för manuell gallring i relevanta processer.

• Inför och genomför regelbundna kontroller, exempelvis stickprov av att personalen följer rutinerna. Om avvikelser upptäcks, utred orsakerna och vidta lämpliga åtgärder.

Riskreducerande åtgärder kan också vara tekniska och organisatoriska.

följa upp riskerna genom en ny riskbedömning.

Summera bedömningen nedan

Ett antal risker är framtagna och dokumenterade i riskbedömningsmallen. För samtliga risker har riskreducerande åtgärder beskrivits och kommer hanteras. Riskerna bedöms som xxx med värden mellan xx - xx

Bedömning av skyldigheten att begära förhandssamråd

Dokumentera bedömningen av om riskerna är fortsatt höga efter att de riskreducerande åtgärderna har beaktats.

Om riskerna förblir höga − trots att riskreducerande åtgärder har beaktats − har den personuppgiftsansvarige en skyldighet att begära förhandssamråd med IMY innan behandlingen påbörjas.36 Detta gäller även om enbart en av de identifierade riskerna bedöms vara fortsatt hög.

Av artikel 36.3 i dataskyddsförordningen framgår vilket underlag den personuppgiftsansvarige ska lämna till tillsynsmyndigheten i samband med begäran om förhandssamråd. Vid en begäran om förhandssamråd ska konsekvensbedömningen ingå som en del av underlaget. Om en konsekvensbedömning saknas eller bedöms vara bristfällig kan IMY komma att begära komplettering eller avvisa begäran om förhandssamråd.

Resultatet av eventuellt förhandssamråd

Dokumentera resultatet av ett eventuellt förhandssamråd eller bifoga IMY:s yttrande.

Inget förhandssamråd kommer begäras.

Synpunkter som hämtats in från berörda

Dataskyddsombudets rekommendationer

Dokumentera synpunkter och/eller rekommendationer som dataskyddsombudet har lämnat under arbetets gång. Dokumentera även eventuella slutliga utlåtanden från dataskyddsombudet.

Dokumentera och motivera eventuella beslut att inte följa formella rekommendationer från dataskyddsombudet

Nr	Dataskyddsombudets rekommendation	Datum	Den personuppgiftsansvariges svar på rekommendationen
001	☐Acceptera ☐ Accepterar och vidtar åtgärd ☐ Avfärdar Om dataskyddsombudets rekommendationer avfärdats ange en noggrann motivering nedan Klicka eller tryck här för att ange text.
002	☐Acceptera ☐ Accepterar och vidtar åtgärd ☐ Avfärdar Om dataskyddsombudets rekommendationer avfärdats ange en noggrann motivering nedan Klicka eller tryck här för att ange text.

Synpunkter från de registrerade

Ange nedan om ni har hämtat in synpunkter från de registrerade. Ange även om synpunkter inte har hämtats in och i så fall varför.

Dokumentera eventuella synpunkter från de registrerade. Motivera och dokumentera även eventuella beslut som går emot de registrerades synpunkter.

Notera att de registrerade kan behöva tillfrågas redan innan, eller i samband med, riskbedömningen. De personuppgiftsansvariga kan behöva omvärdera riskerna enligt synpunkterna.

Synpunkter från övriga intressenter

Ange om ni har hämtat in synpunkter från någon övrig intressent, exempelvis en informationssäkerhets­ ansvarig eller någon med särskild teknisk kompetens. Dokumentera eventuella synpunkter från dessa, om lämpligt.

Sammantagen bedömning

Ange den sammantagna bedömningen av om den planerade behandlingen kan genomföras eller inte.

Behandlingen uppfyller de rättsliga förutsättningarna som finns dataskyddsförordningen och kompletterande lagstiftning. De identifierade riskerna anser vi vara hanterade i den utsträckning som är tillräcklig, och den planerade behandlingen anses nödvändig och proportionerlig i förhållande till ändamålet med den. Detta för att säkerställa att nyttan med behandlingen står i rimlig proportion till de risker för enskildas fri- och rättigheter som har identifierats.

Förankring av bedömningen i organisationen

Dokumentera hur och när de beskrivningar och bedömningar som ni gjort har förankrats i organisationens ledningsgrupp, exempelvis genom en internremiss eller föredragning på ledningsgruppsmöte eller dylikt.

Tydliggör vem som bär ansvaret för att vidta de riskreducerande åtgärderna och vem som ansvarar för eventuell kvarstående risk med behandlingen.

Ingår i systemförvaltningen

Kontinuerlig översyn

Plan för att genomföra översyn

Ange när och hur ofta konsekvensbedömningen ska följas upp samt vilka roller eller funktioner i organisationen som ansvarar för uppföljningen. Beskriv även hur det ska säkerställas att eventuella förändringar av risken fångas upp inom organisationen

Årligen översyn av konsekvensbedömningen, ingår i systemförvaltningsens ansvar.

Versionshistorik

Fyll i tabellen för att tydliggöra när förändringar i konsekvensbedömningen har gjorts.

Version	Datum	Fastställd av	Ändringar
1.0	202x-xx-xx