DPIA — Personvernkonsekvensvurdering
Mal · Sist oppdatert: 26. mai 2026 · Versjon 1.0
Når kreves DPIA?
GDPR art. 35 krever DPIA når behandlingen «sannsynligvis vil medføre en høy risiko» for fysiske personer. Datatilsynet anbefaler DPIA for undersøkelser rettet mot elever, ansatte, innbyggere eller andre med ujevn maktbalanse — særlig ved fritekst, sensitive temaer eller systematisk overvåking.
Denne malen er ferdig utfylt for typiske behandlinger i Utfordre. Tilpass etter virksomhetens konkrete formål og kontekst. Be om Word/PDF på offentlig@utfordre.no.
Del 1 — Beskrivelse av behandlingen
Navn på behandling
Fylles ut av virksomheten
[Navn på undersøkelse eller program]
Behandlingsansvarlig
Virksomhetens navn og org.nr.
[Virksomhetens navn]
Databehandler
Utfordre AS (under stiftelse) — se DPA
Formål
Konkretiser formålet
Innhente tilbakemeldinger / kunnskapsmåling / engasjement fra [målgruppe]
Behandlingsgrunnlag (art. 6)
Velg: offentlig myndighet (6.1.e), avtale (6.1.b), samtykke (6.1.a), berettiget interesse (6.1.f)
Særlige kategorier (art. 9)
Behandles ikke som standard. Aktiveres kun ved eksplisitt grunnlag.
Del 2 — Dataflyt
- Respondent svarer i nettleser → krypteres med TLS 1.2+ → lagres i Supabase/AWS Frankfurt.
- Eventuell KI-analyse av frie svar sendes til Mistral AI (Frankrike, EU). Brukes ikke til trening.
- Rapporter genereres i tjenesten med k-anonymitet (minimum gruppestørrelse 5).
- Eksport (CSV/PDF/JSON) tilgjengelig kun for eier/administrator. Eksport av små grupper logges.
Del 3 — Nødvendighet og forholdsmessighet
- Dataminimering: Utfordre samler standard kun e-post + svar. Navn/telefon valgfritt per undersøkelse.
- Lagringstid: Respondentdata slettes ved lukking eller etter 12 mnd. Svar følger undersøkelsens retensjon (standard 365 dager).
- Rett til innsyn/sletting: Selvbetjent eksport og sletting fra kontoinnstillinger.
- Informasjon til registrerte: Respondenter ser kort personvernmelding før de starter, og samtykke for fritekst.
Del 4 — Risikovurdering
For hver risiko: vurder sannsynlighet (1–4) × konsekvens (1–4) = risiko (1–16).
| Trussel | Tiltak i Utfordre | Restrisiko |
|---|---|---|
| Uautorisert tilgang til svar | RLS, 2FA, audit-logg, krypterte backup | Lav |
| Re-identifisering av små grupper | K-anonymitet (terskel 5), eksport-logg | Lav |
| PII i fritekst | Fritekstsamtykke, dataminimering, barnesikker modus | Middels — krever rutine |
| Overføring utenfor EØS | All primær lagring i EU. SCC ved fremtidig overføring. | Lav |
| Mindreårige presses til å svare | Barnesikker modus, anonym anbefalt, fritekst frarådes | Middels — krever rutine |
| Inaktive kontoer lagres for lenge | Automatisk varsel 150 d / sletting 180 d | Lav |
Del 5 — Rutiner hos behandlingsansvarlig
- Utpek en eier per undersøkelse med ansvar for personvern.
- Velg anonym som personvernmodus med mindre konkret formål krever annet.
- For undersøkelser rettet mot barn under 13 år: innhent foresattes samtykke utenfor plattformen.
- Etabler intern rutine for håndtering av innsyns- og sletteanmodninger.
- Logg overstyringer av barnesikker modus og dokumenter begrunnelse.
- Gjennomgå tilganger (org-admin, leder, medlem) årlig.
Del 6 — Konklusjon
Samlet risikovurdering
Fylles ut av personvernombud / databeskyttelsesombud
[Akseptabel / Akseptabel med tiltak / Krever forhåndsdrøfting med Datatilsynet]
Dato og signatur
Personvernombud
________________________
Se også personvernerklæringen og databehandleravtalen.