Vurdering av risiko (RV)

Risikoeiere planlegger og gjennomfører risikovurderinger på sitt ansvarsområde, for å styre risiko på oppgaver og tjenester. 

Avhengig av hvor stort og komplekst ansvarsområdet er, bør risikoeier benytte resultatet av foranalysen til å dele opp området i hensiktsmessige deler, eller gruppere deler som kan vurderes sammen. 

Vurdering av risiko gjennomføres systematisk og planlagt (ref. Vurdere behov for risikovurderinger (OP-3)), men også når det oppstår særskilt behov – for eksempel etter hendelser eller i forbindelse med endringer i oppgaver og tjenester, inkludert anskaffelser og utvikling av digitale systemer.

Risikoeier skal sørge for at det legges en plan før en risikovurdering gjennomføres. 

Planleggingen bør som minimum inneholde:

• Beskrivelse av omfang og avgrensninger
• Hvilken kompetanse det er behov for, og hvem som skal delta
• Valg av framgangsmåte, inkludert hensiktsmessige metoder og støttemetoder
• Estimat av ressursbruk
• Hvordan arbeidet skal dokumenteres

All behandling av personopplysninger krever et formål, et behandlingsgrunnlag, en vurdering av nødvendighet og proporsjonalitet og skal i hovedsak dokumenteres i en protokoll over behandlingsaktiviteter. En slik behandlingsprotokoll kan publiseres offentlig som en del av personvernerklæringen.

Dersom det er sannsynlig at en type behandling av personopplysninger kan medføre høy risiko for fysiske personer skal risikoeier i tillegg sørge for å gjennomføre en personvernkonsekvensvurdering (DPIA) for å finne de ekstra tiltakene som må til for å redusere en høy risiko. Slike vurderinger skal omfatte alle forhold og plikter knyttet til personvern, inkludert personopplysningssikkerhet. En vurdering av personvernkonsekvenser skal minimum inneholde:

• En systematisk beskrivelse av de planlagte behandlingsaktivitetene og formålene med behandlingen
• En vurdering av om behandlingsaktivitetene er nødvendige og står i et rimelig forhold til formålene
• En vurdering av risikoene for de registrertes rettigheter og friheter
• De planlagte tiltakene for å håndtere risikoene og for å påvise at forordningen overholdes

Funn og tiltak fra denne prosessen skal valideres (sjekke at de er gode nok for formålet, og oppfyller kravene) og godkjennes av ledelsen.

Dersom en vurdering av personvernkonsekvenser tilsier at behandlingen tross tiltak fremdeles vil medføre en høy risiko, skal den behandlingsansvarlige rådføre seg med Datatilsynet (gjennom den formelle prosessen Forhåndsdrøftelse) før behandlingen av personopplysninger igangsettes.

Risikoeiere skal sørge for at nødvendige risikovurderinger og personvernkonsekvensvurderinger blir gjennomført. Omfang og praktisk gjennomføring må tilpasses det som skal vurderes. Risikoeier skal sørge for at metodene som benyttes er egnet til det som skal vurderes, og ivaretar relevante regelverkskrav.

Risikoeiere skal benytte resultatet fra foranalysen i Oversikt over ansvarsområde (OP-1) når de vurderer risiko.

Når vurderinger oppdateres kan det være tilstrekkelig å vurdere om det har skjedd endringer som påvirker eksisterende vurderinger. For eksempel ny kunnskap om sårbarheter, hvilke hendelser som kan inntreffe, eller hvilke konsekvenser som kan oppstå.

Risikovurderingen skal dokumenteres, og danner et beslutningsgrunnlag for risikoeier for håndtering av risiko.

Når risikoeiere blir kjent med informasjonssikkerhetshendelser eller hendelser som har påvirket personopplysningsvernet, skal de gjøre ny behovsvurdering, og gjennomføre risikovurderinger hvis det er behov for det.