Retshåndhævelsesloven § 25

Gældende ret indeholder ikke et krav om, at den dataansvarlige skal udarbejde konsekvensanalyser.

Det foreslås i stk. 1, at hvis en type behandling, navnlig ved brug af nye teknologier og i medfør af sin karakter, omfang, sammenhæng og formål, sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder, skal den dataansvarlige forud for behandlingen foretage en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger.

Angivelsen af, at konsekvensanalysen skal foretages forud for behandlingen, indebærer, at kravet alene er relevant i forhold til behandling, der foretages den 1. maj 2017 eller senere, dvs. efter det foreslåede ikrafttrædelsestidspunkt. Der skal med andre ord ikke foretages konsekvensanalyser af eksisterende behandlingsaktiviteter, jf. også den foreslåede § 53 og bemærkningerne hertil.

Det foreslås videre i stk. 2, at analysen skal indeholde en generel beskrivelse af de planlagte behandlingsaktiviteter, en vurdering af risiciene for de registreredes rettigheder, de foranstaltninger, der påtænkes for at imødegå disse risici, garantier, sikkerhedsforanstaltninger og mekanismer, som kan sikre beskyttelse af personoplysninger og påvise overholdelse af denne lov, under hensyntagen til de registreredes og andre berørte personers rettigheder og legitime interesser.

De krævede oplysninger er i vidt omfang sammenfaldende med de oplysninger, som en anmeldelse efter persondatalovens afsnit V skal indeholde, jf. persondatalovens § 43, stk. 2.

Der henvises i øvrigt til pkt. 2.5.3.5 i lovforslagets almindelige bemærkninger.