Aalborg Universitet Postboks 159 9220 Aalborg Sagsbehandler: [Navn 1] [Navn 2] Telefon: [Tlfnr.] Email: [E-mail] Dato: [Brevdato] Sagsnr.: [Sagsnr.]

Værktøj til screening af, om der skal foretages en konsekvensanalyse

Følgende skema skal du udfylde, så det kan blive vurderet, om det er nødvendigt at foretage en konsekvensanalyse i dit projekt. Skemaet skal også efterfølgende bruges som dokumentation for, at nødvendighedsvurderingen er foretaget.

I første del af skemaet skal du besvare 4 spørgsmål. Hvis du kan svare ja til ét af disse spørgsmål, så skal der formentlig foretages en konsekvensanalyse.

Hvis du svarer nej til alle 4 spørgsmål i første del, skal du fortsætte din vurdering ved at besvare de efterfølgende spørgsmål i anden del af skemaet. Hvis du kan svare ja til to eller flere af spørgsmålene, så skal der formentlig foretages en konsekvensanalyse.

Hvis du er i tvivl om du skal svare ja eller nej, så sæt kryds ved ’ja’ og uddyb tvivlen i højre kolonne, så foretager enten GDPR-enheden eller Kontraktenheden vurderingen på baggrund af dine oplysninger. Du er også velkommen til at kontakte enhederne ved spørgsmål.

Dokumentet er AAU´s dokumentation for, at AAU har taget stilling til, om der kan være en risiko for de registrerede.

Når screeningsdokumentet er udfyldt, skal du sende det til nedenstående mailadresse. På grundlag af screeningsdokumentet vil en sagsbehandler fra hhv. Kontraktenhedens persondatateam (forskning) og GDPR – enheden (administration) foretage en vurdering af hvorvidt, der skal foretages en konsekvensanalyse. Du vil under alle omstændigheder blive kontaktet om resultatet.

Har du i øvrigt spørgsmål til screeningen, kan du blot skrive en mail til nedenstående adresse, så vil du blive kontaktet hurtigst muligt.

Mailadresse

konsekvensanalyse@aau.dk

Screening

Projekttitel
Projektleder
Afdeling/institut
Dato for vurderingen
Kort projektbeskrivelse

Kan du svare ’ja’ til ét af de tre nedenstående punkter, skal der laves en konsekvensanalyse
Skal du foretage en systematisk og omfattende vurdering af specifikke, personlige forhold vedrørende fysiske personer, der er baseret på automatisk behandling, herunder profilering, og som er grundlag for afgørelser, der har retsvirkning for den fysiske person eller på tilsvarende vis betydeligt påvirker den fysiske person? Systematisk og omfattende: Det kan både være antallet, men det kan også være en stor mængde af forskellige personoplysninger sammenkoblet med antallet og/eller behandlingens varighed. Personlige forhold: Arbejdsindsats, økonomiske situation, helbred, personlige præferencer/interesser, pålidelighed, adfærd, geografiske position eller bevægelser Automatisk behandling og profilering: Behandling af oplysningerne, hvor der ikke er menneskelig indblanding i evalueringen/analysen/forudsigelsen, men den alene er baseret på algoritmer eller beregninger Afgørelser med retsvirkning: Behandlingen påvirker den fysiske person ved at denne ikke opnår rettigheder eller mister rettigheder fx udelukkelse fra studie/fag/eksamen, diskrimination, ansættelse eller opsigelse, eller tildeling af økonomisk ydelse	☐ Ja ☐ Nej Ved ja, uddyb:
Skal du foretage behandling i stort omfang af følsomme personoplysninger, jf. databeskyttelsesforordningens artikel 9, stk. 1, eller af personoplysninger vedrørende straffedomme og lovovertrædelser, jf. artikel 10? Stort omfang: Det kan både være antallet, men det kan også være en stor mængde af forskellige personoplysninger sammenkoblet med antallet og/eller behandlingens varighed. Følsomme personoplysninger: Race eller etnisk oprindelse Politisk, religiøs eller filosofisk overbevisning Fagforeningsmæssigt tilhørsforhold Genetiske data Biometriske data Helbred Seksuelle forhold eller orientering Straffedomme og lovovertrædelser og lignende sikkerhedsforanstaltninger	☐ Ja ☐ Nej Ved ja, uddyb:
Skal der foretages systematisk overvågning af et offentligt tilgængeligt område i stort omfang? Overvågning: Overvågning kan være på offentlige pladser, men det kan også være online overvågning eller anden digital overvågning. Det gælder især i tilfælde, hvor de registrerede personer måske ikke er klar over, og ikke har mulighed for at undgå, at de bliver overvåget. Offentligt tilgængeligt område: Dvs. steder, hvor der er almen adgang for de fleste fx parker, veje, kyster, men også uaflåste bygninger eller bygninger med generel mulighed for adgang fx biblioteker. Stort omfang: Det kan både være antallet, men det kan også være en stor mængde af forskellige personoplysninger sammenkoblet med antallet og/eller behandlingens varighed.	☐ Ja ☐ Nej Ved ja, uddyb:
Kan et brud på sikkerheden have en direkte effekt på individers fysiske helbred eller sikkerhed? Direkte effekt på individers fysiske helbred eller sikkerhed: Hvis der sker nedbrud, så der ikke kan opnås adgang til data, dataene ændres eller tredjemand får utilsigtet/uautoriseret adgang til dataene, så kan det få direkte betydning for individers helbred eller sikkerhed fx at der gives forkert behandling af sygdom	☐ Ja ☐ Nej Ved ja, uddyb:
Hvis du svarer ’ja’ til ét af nedenstående spørgsmål, medfører det ikke i sig selv, at der skal foretages en konsekvensanalyse. Men, hvis du kan svare ’ja’ til to eller flere af punkterne, skal der formentlig foretages en konsekvensanalyse
Behandles der personoplysninger om sårbare, fysiske personer? Sårbare, fysiske personer: I tilfælde, hvor der er en øget skævhed i magtfordelingen mellem den registrerede og den dataansvarlige, vil de registrerede være sårbare. Fx børn, ansatte, psykisk syge personer, asylansøgere, ældre, patienter.	☐ Ja ☐ Nej Ved ja, uddyb:
Omfatter behandlingen en stor mængde af personoplysninger og berører en stor gruppe af registrerede? Stort mængde/stor gruppe: Det kan både være: Antallet af registrerede Mængden af forskellige personoplysninger Ovenstående sammenkoblet med antallet og/eller behandlingens varighed.	☐ Ja ☐ Nej Ved ja, uddyb:
Kan behandlingen give anledning til forskelsbehandling, identitetstyveri eller -svig, finansielle tab, skade på omdømme, tab af fortrolighed for personoplysninger, der er omfattet af tavshedspligt, uautoriseret ophævelse af pseudonymisering eller andre betydelige økonomiske eller sociale konsekvenser?	☐ Ja ☐ Nej Ved ja, uddyb:
Kan de registrerede blive berøvet deres rettigheder og frihedsrettigheder eller forhindret i at gøre brug af en tjeneste eller en kontrakt? Berøvelse af rettigheder/forhindret i at gøre brug af en tjeneste eller en kontrakt: Behandlingen påvirker den fysiske person ved at denne ikke opnår rettigheder eller mister rettigheder fx udelukkelse fra studie/fag/eksamen, diskrimination, ansættelse eller opsigelse, eller tildeling af økonomisk ydelse	☐ Ja ☐ Nej Hvis ja, uddyb:
Behandles der personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, og behandling af genetiske data, helbredsoplysninger eller oplysninger om seksuelle forhold eller straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger, eller behandles der personoplysninger af meget privat karakter? Personlige oplysninger af meget privat karakter: Fortrolige oplysninger såsom, finansielle/økonomiske oplysninger, private e-mails/kalendere/notater, skilsmisseoplysninger, adoptionsforhold, alkoholtest, væsentlige sociale problemer og familieforhold, disciplinærsager, bortvisningsgrund, hemmelig adresse.	☐ Ja ☐ Nej Ved ja, uddyb:
Skal du foretage en evaluering eller analyse af personlige forhold vedrørende fysiske personer, der er baseret på automatisk behandling, herunder profilering? Systematisk og omfattende: Det kan både være antallet, men det kan også være en stor mængde af forskellige personoplysninger sammenkoblet med antallet og/eller behandlingens varighed. Personlige forhold: Navnlig arbejdsindsats, økonomiske situation, helbred, personlige præferencer/interesser, pålidelighed, adfærd, geografiske position eller bevægelser Automatisk behandling og profilering: Behandling af oplysningerne, hvor der ikke er menneskelig indblanding i evalueringen/analysen/forudsigelsen, men den alene er baseret på algoritmer, beregninger, profiler og lignende.	☐ Ja ☐ Nej Ved ja, uddyb:
Skal der foretages en automatisk beslutningstagning, herunder profilering, med juridisk eller tilsvarende binding? Automatisk behandling og profilering: Behandling af oplysningerne, hvor der ikke er menneskelig indblanding i evalueringen/analysen/forudsigelsen, men den alene er baseret på algoritmer, beregninger, profiler og lignende Afgørelser med retsvirkning: Behandlingen påvirker den fysiske person ved at denne ikke opnår rettigheder eller mister rettigheder fx udelukkelse fra studie/fag/eksamen, diskrimination, ansættelse eller opsigelse, eller tildeling af økonomisk ydelse	☐ Ja ☐ Nej Hvis ja, uddyb:
Skal der foretages overvågning på et offentligt tilgængeligt sted? Overvågning: Overvågning kan være på offentlige pladser, men det kan også være online overvågning eller anden digital overvågning. Det gælder især i tilfælde, hvor de registrerede personer måske ikke er klar over, og ikke har mulighed for at undgå, at de bliver overvåget. Offentligt tilgængeligt område: Dvs. steder, hvor der er almen adgang for de fleste fx parker, veje, kyster, men også uaflåste bygninger eller bygninger med generel mulighed for adgang fx biblioteker.	☐ Ja ☐ Nej Hvis ja, uddyb:
Behandles der biometriske data med det formål at identificere en fysisk person? Biometriske data: Data til autentificering, dvs. identifikation og verifikation af mennesker, baseret på menneskets egne fysiologiske eller adfærdsmæssige karakteristika, fx fingeraftryk, tale- ansigts og irisgenkendelse	☐ Ja ☐ Nej Hvis ja, uddyb:
Behandles der genetiske data? Genetiske data: Data vedrørende en fysisk persons arvede eller erhvervede genetiske karakteristika, som foreligger efter en analyse af en biologisk prøve fra den pågældende fysiske person	☐ Ja ☐ Nej Hvis ja, uddyb:
Behandles der lokationsdata? Lokationsdata: Data, der kan lokalisere fysiske personers ophold og færden	☐ Ja ☐ Nej Hvis ja, uddyb:
Behandles der personoplysninger ved brug af ny teknologi eller en ny, innovativ måde at anvende en ældre teknologi på? Ny teknologi: Betegnelsen ”ny teknologi” skal forstås i bred forstand og ses i lyset af det opnåede niveau af teknologisk viden. Det skal objektivt set være ny teknologi. Dvs. at blot dét at udskifte et IT-system med et andet på markedet, udgør ikke en ”ny teknologi” Nye organisatoriske løsninger/innovativ brug: I situationer, hvor selve teknologien ikke er ny, men den skal bruges på en objektivt set ny måde, vil der være tale om innovativ brug	☐ Ja ☐ Nej Hvis ja, uddyb:
Matching eller kombination af datasæt Matching/kombination: Den situation, hvor man matcher/kombinerer datasæt, der stammer fra to eller flere behandlinger af personoplysninger med forskellige formål og/eller foretaget af forskellige dataansvarlige på en måde, som ville overstige den registreredes rimelige forventninger. Det vil fx være ved samkøring af data fra ét administrativt formål med ét andet administrativt formål til et tredje ikke-administrativt formål, som de registrerede ikke med rimelighed kunne forvente, da de gav deres oplysninger til de to øvrige administrative formål.	☐ Ja ☐ Nej Hvis ja, uddyb: