---
title: "Tyler Durden gjør DPIA og ser helheten"
canonical: "https://forvarelset.tazk.no/space/TO/blog/426278913/Tyler%20Durden%20gj%C3%B8r%20DPIA%20og%20ser%20helheten"
format: markdown
---
Det tok ikke lang tid fra [tredjelandsvurderingen var ferdig](https://forvarelset.tazk.no/space/TO/blog/244088833/Tyler+Durden+gj%C3%B8r+tredjelandsvurdering) før spørsmålene begynte å komme. Hva med DPIA? Når må vi gjøre den? Når slipper vi unna? Hvorfor er våre DPIA-er ubrukelige? Tyler kjente igjen mønsteret.
DPIA = **Personvernkonsekvensvurdering. **Et ord som får hele utviklingsteamet til å late som de har et viktigere møte. Som juristene drukner i forbehold. Som ender i et førtisiders Word-dokument ingen leser før Datatilsynet ringer.
Forvaltningen hadde holdt på i åtte år uten å lære stort. Klipp-og-lim-skjemaer. Vage risikoutsagn. Tiltak formulert som *vi følger gjeldende rutiner*. Et alibi, ikke en analyse. En forsikring mot bot, ikke et vern for folk.
> *Frihet handler om å gi folk reell kontroll. Ikke om å pynte papirer. Hvis DPIA-en din ikke gjør én eneste person tryggere, har du skrevet en papirtiger for revisor.*
Men Tyler oppdaget en utvei. EDPB hadde selv sagt det i klartekst, og dyktige folk i andre fagmiljøer jobbet sånn allerede: **Du trenger ikke tre vurderinger. Du trenger én — gjort skikkelig.**
Tylers neste angrep? **DPIA**. Eller *Data Protection Impact Assessment* som de kaller det i Brussel. *Vurdering av personvernkonsekvenser* når du snakker med nordmenn.
Resultatet? En ny [«no bullshit» veiledning](https://forvarelset.tazk.no/space/TO/blog/425164802) i samlingen (som river ned hele fasaden):
## DPIA - Den forbaskede greia ingen skjønner, men alle må gjøre
*Dette dokumentet er ikke konfidensielt. Del det med alle som trenger det. Jo flere som forstår dette, jo bedre for alle.*
*Personvern er ikke prosjektets fiende - det er bare enda et krav som må oppfylles før vi kan gå videre. Som alt annet.*
*T.D. Mai 2026*
---
Ord du bør vite om så du ikke virker dum. Juristene kommer til å pepre deg med disse.
**DPIA** = Data Protection Impact Assessment. På norsk: *Vurdering av personvernkonsekvenser*. I klarspråk: «Kan denne behandlingen skade folk, og hva gjør vi i så fall med det?»
**Behandlingsansvarlig** = Den som bestemmer hvorfor og hvordan personopplysninger skal behandles. Det er DEG, ikke leverandøren. Du kan ikke skyve ansvaret over på dem.
**Personvernombud** = Den i virksomheten som faktisk har *lest* personvernforordningen. Behandlingsansvarlig *skal* innhente råd fra personvernombudet når DPIA gjennomføres (artikkel 35 nr. 2). Gi henne en kaffe og ærlige svar. Det er billigere enn bot.
**Høy risiko** = Når behandlingen kan ramme rettighetene eller frihetene til folk på en alvorlig måte. Ikke høy risiko for *virksomheten din*. Høy risiko for *menneskene*. Hold de to fra hverandre. Hver. Eneste. Gang.
**Diskresjon** = Den rettslige interessen i å ha en viss kontroll med opplysninger om seg selv (Blekeli og Selmer, 1977). Krenkes den, kjenner folk det som «creepy-faktoren» — ubehaget som er vanskelig å sette ord på. Bruk *krenkelse av diskresjon* i DPIA-en der det passer.
**EDPB** = European Data Protection Board. Tolker reglene. Etterfølgeren til Artikkel 29-gruppen som lagde DPIA-veiledningen **WP248** i 2017 — de ni kriteriene for «høy risiko» som Datatilsynets liste bygger på. Fortsatt gjeldende. EDPB vedtok i tillegg en standardisert DPIA-mal i april 2026.
**Forhåndsdrøfting** = Når DPIA viser høy gjenværende risiko etter alle tiltak: Ring Datatilsynet før du starter (artikkel 36).
**Restrisiko** = Risikoen som er igjen etter at du har satt inn tiltak.
### Regel nr. 1
Du starter ikke en behandling med høy risiko uten å ha gjort DPIA først. Punktum. Personopplysninger som lekker, blir misbrukt eller skader noen, lar seg ikke seg rydde opp i etterpå. Det er en skade på et menneske som ikke kan tas tilbake.
### Sannheten
DPIA er en *risikovurdering for menneskene* — ikke for virksomheten. Vi sjekker om behandlingen kan skade rettighetene og frihetene til folkene i registeret. Eller *systemet* om du vil. Punkt. Slutt.
Det er denne forskjellen mange roter med. Skriv det på en gul lapp. Klistre den på skjermen.
### Konkrete eksempler — når må du, og når må du IKKE?
Mange roter med dette også. Virksomheter gjør DPIA-er de ikke trenger, og glipper på de få høyrisiko-behandlingene som faktisk burde vært vurdert.
**Bare fordi det er personopplysninger inne i bildet, betyr det ikke at du må gjøre en DPIA. Det er *****risikoen for menneskene***** som avgjør — ikke at det *****finnes***** personopplysninger.**
Behandlinger som UTLØSER DPIA
| **Behandling** | **Hvorfor — og hvor det står** |
| --- | --- |
| **Profilering med rettsvirkning:** Kredittvurdering, automatisk jobbavslag, automatisk vedtak om ytelser | Datatilsynets liste. WP248-kriterium 1 + 2. |
| **Systematisk overvåking av ansatte**: PC-bruk, e-post, mobil, kamera, GPS, tastetrykk | Datatilsynets liste. Kriterium 3 + 7 (sårbare = ansatte i avhengighetsforhold). |
| **Biometri for identifikasjon i stor skala**: Ansiktsgjenkjenning ved adgangskontroll, fingeravtrykk på arbeidsplass | Datatilsynets liste. Kriterium 4 + 5. |
| **Helsedata behandlet med innovativ teknologi**: Helseimplantater, KI-diagnose | Datatilsynets liste. Kriterium 4 + 8. |
| **Genetiske data i stor skala**: Gensekvensering | Datatilsynets liste. Kriterium 4 + 5. |
| **KI-systemer som rangerer eller scorer mennesker**: Rekrutteringsverktøy, kundescoring, elevvurdering | Datatilsynets liste. Kriterium 1 + 8. |
| **Microsoft 365 og Google Workspace i grunnskolen** | Barn (sårbare) + stor skala + innovativ teknologi. KS gjennomfører nasjonal DPIA — du kan bygge på den. |
| **Kameraovervåking av store offentlige områder**: Motorvei, kjøpesenter, stor butikk | EDPB Guidelines 3/2019 + artikkel 35(3)(c) GDPR. Automatisk DPIA-utløsende. |
| **Forskningsprosjekt med helsedata uten samtykke** | Datatilsynets liste. Treffer kriterium 4 (helsedata) + ofte 5 (stor skala). |
| **«Intelligent» kameraovervåking** med KI-analyse av atferd | Innovativ teknologi + systematisk overvåking. EDPB 3/2019. |
| **Sikringsanlegg i bygg** — AIA, AAK, TVO | Registrerer alle som passerer. Systematisk overvåking + ofte stor skala + ofte sårbare. Datatilsynets liste + EDPB 3/2019. |
Behandlinger som vanligvis IKKE utløser DPIA
«Vanligvis» fordi kontekst kan endre alt. Treffer behandlingen to eller flere av EDPBs ni kriterier — gjør DPIA uansett.
| **Behandling** | **Hvorfor under terskelen** | **Når det LIKEVEL kan utløse DPIA** |
| --- | --- | --- |
| **Vanlig lønn og skatt** | Standardisert. Ingen profilering, ingen overvåking. Maks ett kriterium (sårbare). | Hvis du legger til prestasjonsmåling, automatisk bonusberegning eller atferdsanalyse. |
| **Vanlig kundefakturering** | Ingen profilering, ingen sensitive data, ingen automatiske avgjørelser. | Hvis du legger til kredittscoring, risikoprising eller automatisk inkasso. |
| **Ansattregister**: Navn, stilling, telefon | Standard HR-data uten monitoring eller evaluering. | Hvis du kobler det til prestasjonsdata, evaluering eller overvåking. |
| **Markedsføring til eksisterende kunder via e-post** (med samtykke) | Ikke høyrisiko, ikke profilering, ikke sensitive data. | Hvis du legger til atferdsbasert sporing eller segmentering med sensitive data. |
| **Adgangskort i lite kontor** (uten biometri) | Få ansatte = Ikke stor skala. Ikke biometri. Ikke systematisk monitoring. | Hvis du bytter til biometrisk adgang, eller logger bevegelsesmønstre over tid. |
| **Interne kalendere og møteinnkallinger** | Ikke høyrisiko, ingen sensitive data, ingen profilering. | Sjelden, men obs: Hvis møter logges automatisk og analyseres med KI. |
| Helt anonymiserte data | GDPR gjelder ikke. Ferdig. | Hvis koblingsnøkkelen finnes et sted: Det er pseudonymisering, ikke anonymisering. Da gjelder GDPR. |
| Behandling identisk med en allerede DPIA-vurdert behandling | WP248: Én DPIA kan dekke lignende behandlinger. | Hvis ny behandling avviker vesentlig: Nye data, nytt formål, ny teknologi. |
| **SD-anlegg og BMS uten sikringsintegrasjon:** Bygningsautomasjon for HVAC, strøm/UPS/nødstrøm, kjøling, ventilasjon, lys | Styrer fysiske prosesser, ikke folk. Personopplysningsbehandling begrenset til driftspersonellets pålogging og handlingslogg. | Hvis anlegget integreres med adgangskontroll, video eller alarm. Eller hvis det legges på KI som analyserer brukeratferd. Se presisering under. |
**Tre raske huskeregler når du er i tvil:**
- Treffer behandlingen **to eller flere** av EDPBs ni kriterier? **DPIA påkrevd**.
- Står den på **Datatilsynets liste**? **DPIA påkrevd**.
- Ingen av delene, men virkelig stygt? **Gjør DPIA**. Du kommer ikke til å angre.
**Ingen kriterier**? **Skriv en kort begrunnelse**[1](https://tazk.atlassian.net/wiki/spaces/TO/blog/2026/05/15/426278913/Tyler+Durden+gj+r+DPIA+og+ser+helheten#Risikovurdering) for hvorfor du landet der. Det er DPIA-en som beviser at du *har* vurdert, ikke fraværet av den.
#### En presisering for bygg- og driftsfolk
OT-systemer (operasjonell teknologi) styrer fysiske prosesser. IT-systemer behandler informasjon. SD-anlegg, BMS og bygningsautomasjon er OT — de styrer temperaturer, ventilasjon, kjøling og strøm. Ikke folk.
Driftsteknikere får ofte panikk: «Behandler vi personopplysninger?» Ja, men bare i liten forstand — noen må logge inn, og handlinger logges for sporbarhet. Det er ikke høyrisiko-behandling. Det er drift.
Situasjonen endrer seg hvis **sikringsanlegg** integreres. AIA, AAK og TVO registrerer alle som passerer. **Da er du tilbake i DPIA-terreng**. NIST (SP 800-82 Rev. 3) klassifiserer både SD-anlegg/BMS og sikringsanlegg som OT, men personverninngrepet skiller seg ofte drastisk fra IT.
**Tommelfingerregel:**
- Anlegget styrer maskiner og bygg → vanligvis ikke DPIA.
- Anlegget registrerer mennesker → vanligvis DPIA.
- Integrert SD-anlegg + sikring → sikringsdelen utløser DPIA-krav, og integrasjonen øker risikoen ytterligere.
## Hev blikket — helhet over siloer
Det er det her mange personvern- og sikkerhetsfolk ikke har skjønt — eller ikke tør si høyt:
**Du trenger ikke tre separate dokumenter. Du trenger én skikkelig risikovurdering**[1](https://tazk.atlassian.net/wiki/spaces/TO/blog/2026/05/15/426278913/Tyler+Durden+gj+r+DPIA+og+ser+helheten#block-dbb4226b44b8)** som dekker alle perspektivene som er aktuelle for *****denne***** behandlingen.**
I praksis kan ett dokument dekke:
- **Virksomhetsrisiko** (informasjonssikkerhet, drift, økonomi, omdømme)
- **DPIA** (risiko for menneskenes rettigheter og friheter etter GDPR artikkel 35)
- **[TIA](https://forvarelset.tazk.no/space/TO/blog/244088833/Tyler+Durden+gj%C3%B8r+tredjelandsvurdering)** (tredjelandsvurdering, der det er aktuelt)
- **FRIA** (grunnleggende rettigheter ved høyrisiko-KI, der det er aktuelt)
- **OT-relevante vurderinger** (sikkerhet som i “trygghet”/”safety”, kritikalitet, fysiske konsekvenser)
### Det prinsipielle og det spesielle
Alle disse vurderingene følger samme grunnstruktur: Interessenter → verdier, dataflyt, risiko, tiltak. Det er *det prinsipielle*. Det som skiller dem er hjemmel, målgruppe og hva som teller som «høy risiko» -> *Det spesielle*.
Smart tilnærming: Del én felles ramme for det prinsipielle, og fyll inn det spesielle der det er aktuelt. Da slipper du både dobbeltarbeid og siloer.
### EDPBs DPIA-mal som sjekkliste
EDPBs DPIA-mal fra april 2026 er din venn — også når du ikke følger den slavisk. Bruk den som **sjekkliste**: Går du gjennom punkt for punkt, vet du at du har vurdert det loven krever. Samme tankegang kan brukes for TIA og andre personvernvurderinger — bruk EDPBs strukturer som forsikring mot at noe glipper.
### Hvorfor det er lov
Artikkel 35 stiller krav til ***innhold***, **ikke *****format***. EDPBs egen DPIA-mal sier eksplisitt at *«controllers* *can conduct their risk analysis and management processes as they prefer, using the DPIA methodology of their choice»*. ISO 27701 er standarden som lar deg bygge personvern inn i ISO 27001. OT-standardene IEC 62443 og NIST SP 800-82 bygger på samme prinsipp. Det er ikke radikalt — det er hvordan dyktige folk allerede jobber.
### Slik gjør du det
#### 1. Kartlegg interessenter og dataflyt først
Hvem er involvert, hvem er berørt, hvor går data, hvilke roller behandler hva. Det løfter blikket — og det er broen over til verdivurderingen. Felles grunnmur for alle perspektivene.
Eksempel — «den dobbelte interessenten»
Tenk på et fagsystem der ansattes handlinger logges systematisk for kontroll og kvalitetssikring — en «DPIA-utløsende behandling» (Datatilsynets liste, systematisk overvåking av ansatte). Her er ansatte både brukere og registrerte. Som brukere vil de **få jobben gjort**. Som registrerte vil de **beskytte opplysningene sine**. Samme menneske, to ulike interesser — og to ulike verdier på den andre siden av broen.
#### 2. Verdivurdering etterpå
Hva er kritisk her? Verdier kan uttrykkes overordnet («arbeidsprosessen systemet understøtter», «de registrertes personvern») eller konkret («pålogging», «loggdata», «sporbarhet ved hendelser»). Personvern: Opplysningenes kritikalitet for de registrerte. Påloggingsinfo trenger mange; loggdata bare et fåtall — typisk IT/OT-drift, sikkerhet eller personvernombudet ved feilsøking eller brudd. Hold perspektivene fra hverandre i analysen, samle dem i konklusjonen.
#### 3. Rett kompetanse til rett tid
Personvernombud, sikkerhet, fagsiden, jurister, tillitsvalgte når ansatte er berørt — hver av dem inn der de tilfører verdi. Ikke alle i alle møter. Klare ansvarsområder. Signaturer på slutten.
#### 4. De fire DPIA-elementene må være eksplisitt dekket
Beskrivelse, nødvendighet/proporsjonalitet, risiko for menneskene, tiltak. Hver av disse skal ha sin egen seksjon eller sitt eget tydelige avsnitt.
#### 5. Tydelig navn på personverndelen
Gi seksjonen et navn tilsynet kjenner igjen — *«Vurdering av personvernkonsekvenser etter GDPR artikkel 35»* eller liknende. Da finner Datatilsynet det de leter etter.
### Hold perspektivene rene — selv i samme dokument
| **Perspektiv** | **Risiko for hvem** | **Standard** |
| --- | --- | --- |
| Virksomhetsrisiko / ROS | Virksomheten — drift, økonomi, omdømme | ISO 31000, ISO 27005, NSM Grunnprinsipper |
| DPIA | Menneskene i registeret/systemene | GDPR artikkel 35 |
| TIA | Menneskene når data går ut av EU/EØS | EDPB Recommendations 01/2020 |
| FRIA | Alle som rammes av et høyrisiko-KI-system | KI-forordningen artikkel 27 |
Hold disse i hver sin seksjon — eller i tydelige kolonner i samme tabell. Det er hvordan du sikrer at personvernet ikke drukner.
### Tiltakene lever videre — enkelte i hvert sitt spor
Det integrerte dokumentet er en *vurdering*, ikke et endepunkt. Tiltakene har sin egen livssyklus og må følges opp der de hører hjemme: Personvern i personvernsporet, sikkerhet i sikkerhetssporet, drift i driftssporet. Men. Husk [KIT(R)](https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/informasjonssikkerhet-internkontroll/etablere-internkontroll/iverksette-styringssystem-for-informasjonssikkerhet/). Tiltak utledet av ett perspektiv er ofte gull for helheten.
PDCA, smidig, kontinuerlig forbedring — samme «syklus-tankegang» som ellers. Rapporter inn i samme styringsforum.
### Folk (fra ulike kanter) vil kanskje rynke på nesa — Stå støtt!
Noen jurister vil kanskje insistere på at DPIA *skal* være et eget dokument. Det er ikke et juridisk krav — det er en arbeidsvane. Be dem vise deg paragrafen.
Noen sikkerhetsfolk vil kanskje insistere på at personvern er «noe juridisk vi tar etterpå». Det er feil rekkefølge. Personvern er en risiko som vurderes sammen med de andre — og helst tidlig, før designet er låst.
Mange tilsyn vil sende noen som leter etter et dokument med tittelen «DPIA» og bli forvirret når det heter noe annet. Mottiltak: Navngi seksjonen tydelig.
EDPB og de skarpeste hodene i andre fagmiljøer vil derimot nikke anerkjennende — fordi dette er hvordan moderne styringssystemer faktisk er bygget. Og det er hvordan det bør gjøres.
### Hva du må finne ut av — kort versjon
#### 1. Avgjør om det er “DPIA-pliktig”
Sjekk Datatilsynets liste og EDPBs ni kriterier:
Kriterier
1. Evaluering eller poenggiving av personer
2. Automatiserte avgjørelser med rettsvirkning eller tilsvarende effekt
3. Systematisk overvåking
4. Særlige kategorier (helse, etnisitet, biometri og lignende) eller data av høyst personlig art
5. Stor skala
6. Sammenstilling av datasett
7. Sårbare personer (barn, ansatte, pasienter)
8. Innovative teknologier (KI, biometri, IoT/”tingenes internett”)
9. Behandlinger som hindrer folk i å bruke en rett eller en tjeneste
To eller flere = DPIA påkrevd.
*PS: Driver du med høyrisiko-KI i offentlig sektor? Da må du også gjøre FRIA. Dette krever en egen sak. T.D. kommer med veileder for dette etterhvert.*
#### 2. Beskriv behandlingen så et menneske skjønner den
Hvilke personopplysninger, hva er formålet, hvem behandler dem, hvor lenge. Tegn dataflyten — bokser og piler. Klarer du ikke det, har du ikke forstått behandlingen.
#### 3. Er det nødvendig og forholdsmessig?
Trenger du *alle* datafeltene? Finnes mindre inngripende måter å nå formålet på? Hvilket rettslig grunnlag — samtykke, avtale, lovhjemmel, berettiget interesse? Skriv det ned og forsvar valget i to setninger.
#### 4. Hva kan gå galt for menneskene? Sett inn tiltak.
Hva skjer hvis dataene lekker, algoritmen tar feil, eller noen får tilgang som ikke skulle hatt det? Hvem rammes hardest? Sårbare grupper først.
Bruk en risikomatrise[2](https://tazk.atlassian.net/wiki/spaces/TO/blog/2026/05/15/426278913/Tyler+Durden+gj+r+DPIA+og+ser+helheten#block-65cbaee7cf79). Vær ærlig. Ikke fargelegg alt grønt fordi det er ubehagelig å skrive «høy».
- Tekniske tiltak: Kryptering, tilgangskontroll, pseudonymisering, logging.
- Organisatoriske tiltak: Opplæring, rutiner, klare roller, sletteregler.
- Personverntiltak: Dataminimering, formålsbegrensning, åpenhet.
Hvert tiltak skal kobles til en konkret risiko. «Vi har god sikkerhetskultur» er ikke et tiltak — det er en floskel.
**Bonus i offentlig sektor:** *Borgervennlig forvaltning* (Blekeli/Selmer 1977) er en kollektiv personverninteresse — folk vil møte forvaltningen med et menneskelig ansikt, ikke en algoritme. Ditt sterkeste argument mot ureflektert automatisering.
#### 5. Er restrisikoen fortsatt høy? Ring Datatilsynet.
Forhåndsdrøfting etter artikkel 36. Du venter på svaret før du starter. Ikke en formalitet — det er det siste filteret før noe faktisk kan skade folk.
#### 6. Dokumenter alt — konkret
Hva vurderte du, hva fant du, hvilke tiltak valgte du, hva er restrisikoen, hvem signerte, når skal det revideres. Vær spesifikk. Vær konkret. Vær ærlig.
Mangler du en mal? EDPB la frem en standardisert DPIA-mal 14. april 2026 (på offentlig høring til 9. juni). Den blir sannsynligvis norsk standard utover høsten. Bygg på den fra start.
### Når kollegaen blir defensiv
Du vil møte motstand. Når kollegaen sier *«stoler du ikke på meg?»*, eller *«vi har aldri trengt dette før»* — husk: Det handler ikke om DPIA-en. Ida Thorsrud sier *«det handler ikke om kjøleskapet»*: Folk krangler ikke om kjøleskapet, de krangler om at de føler seg fortrengt, mistrodd eller stressa.
Ikke ta motstanden personlig. Ikke krangle om sak når motstanden bunner i følelser. Hold deg til lovkravet — du representerer ikke deg selv, men menneskene i registeret.
### Husk
Du er kvalifisert til denne vurderingen. Du kjenner behandlingen bedre enn noen jurist gjør. Bruk hodet. Spør personvernombudet når du står fast.
Informer de registrerte mer enn du tror er nødvendig. Folk glemmer — selv folk som driver med personvern hver dag.
### Den enkle sannheten
Ikke start behandlinger som kan skade folk uten å ha tenkt gjennom hvordan du beskytter dem først. Og: Ikke skriv tre dokumenter når ett gjør jobben bedre[1](https://tazk.atlassian.net/wiki/spaces/TO/blog/2026/05/15/426278913/Tyler+Durden+gj+r+DPIA+og+ser+helheten#block-dbb4226b44b8).
---
*Hvis dette virker komplisert, husk: Du trenger ikke gjøre alt selv. Snakk med personvernombudet. Snakk med sikkerhet. Snakk med fagsiden. DPIA er en lagsport. Men noen må starte løpet — og det er ofte deg.*
---
Fotnoter
#### 1 Risikovurdering
Du må alltid gjøre en risikovurdering før du tar i bruk et IT/OT-system. Av flere grunner som jeg ikke skal utdype her. Bruk denne til å omfatte personvern - da får du med helheten og du sparer både deg selv og alle andre for tid.
Men: Det forutsetter at du husker på skillet mellom hensynet til menneskene det gjelder og virksomheten.
*En helhetlig risikovurdering krever en egen sak. T.D. kommer med veileder for dette etterhvert.*
#### 2 Risikomatrisen
**Sannsynlighet × konsekvens — for *****menneskene*****, ikke virksomheten**
En tabell der den ene aksen er hvor sannsynlig det er at noe går galt, og den andre er hvor alvorlige konsekvensene blir. Produktet er risikonivået.
- Sannsynlighet: Lav, middels, høy.
- Konsekvens: Lav, middels, høy — *fra individets perspektiv*. Diskriminering, identitetstyveri, økonomisk tap, psykisk belastning, tap av tillit, krenkelse av diskresjon.
- Sårbare grupper løfter alltid konsekvensaksen ett hakk. Barn, pasienter, ansatte i avhengighetsforhold tåler mindre.
**Eksempel:** Du innfører ansiktsgjenkjenning i adgangskontrollen til en barnehage. Sannsynlighet for misbruk: lav. Konsekvens hvis biometri lekker: Høy (du kan ikke skifte ansikt). Risiko: Høy, uavhengig av sannsynlighet. Resultat: ikke gjør det. Bruk nøkkelkort.
Det er konsekvensaksen *for menneskene* som tvinger deg til å forstå hva som faktisk står på spill. Det er forskjellen mellom en DPIA som beskytter folk og et papir som beskytter ryggen din.
Kilder
- [Artikkel 35 i personvernforordningen — Lovdata](https://lovdata.no/dokument/NL/lov/2018-06-15-38)
- Blekeli, R. D. (1977) «Hva er personvern?». I: Blekeli, R. D. & Selmer, K. S. (red.) Data og personvern. Oslo: Universitetsforlaget, ss. 13–26. Se også [bokoppføring i Depotbiblioteket](https://depotbiblioteket.no/cgi-bin/m2?mode=p&tnr=378419).
- [Article 29 Working Party — Guidelines on Data Protection Impact Assessment (DPIA), WP248 rev.01 (2017)](https://ec.europa.eu/newsroom/article29/items/611236)
- [EDPB adopts DPIA template (14. april 2026)](https://www.edpb.europa.eu/news/news/2026/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_en)
- [Vurdering av personvernkonsekvenser (DPIA) — Datatilsynet](https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/)
- [Når må man gjennomføre en vurdering av personvernkonsekvenser — Datatilsynet](https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/vurdering-av-personvernkonsekvenser/nar-ma-man-gjennomfore-en-vurdering-av-personvernkonsekvenser/)
- [Sjekkliste for DPIA — Datatilsynet](https://www.datatilsynet.no/contentassets/8b767689abb14926af27820c9c2fb89e/sjekkliste-for-dpiafaser.pdf)
- [Nasjonal DPIA for Microsoft 365 i skolen — KS / SkoleSec](https://www.ks.no/fagomrader/digitalisering/skolesec/nasjonal-dpia-for-microsoft-3652/)
- [Guidelines 3/2019 on processing of personal data through video devices — EDPB](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_en)
- [NIST SP 800-82 Rev. 3 — Guide to Operational Technology (OT) Security (september 2023)](https://csrc.nist.gov/pubs/sp/800/82/r3/final)
- [ISO/IEC 27701 — Privacy Information Management](https://www.iso.org/standard/71670.html)
- [Recommendations 01/2020 on measures that supplement transfer tools (Schrems II) — EDPB](https://www.edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_en)
- [Thorsrud Rådgivning — om interessemodellen, diskresjon og defensive reaksjoner](https://www.thorsrud.org/blogg)
- [Arbeidstilsynet — Veileder om kontroll og overvåking i arbeidslivet (2019)](https://www.arbeidstilsynet.no/contentassets/04ec2eb566d44942bd6693e9e3a0c99e/veileder-om-kontroll-og-overvaking-2019.pdf)