Mange virksomheder ved ikke, om de har pligt til at udpege en databeskyttelsesrådgiver, ofte kaldet en DPO. Svaret står i databeskyttelsesforordningens artikel 37, og det kan i de fleste tilfælde findes ved at gå fire spørgsmål igennem i rækkefølge.
Teksten nedenfor er min gennemgang af reglerne. Den erstatter ikke en juridisk vurdering af jeres konkrete situation, og i grænsetilfælde bør I tale med en jurist eller spørge Datatilsynet.
Kilden er Europa-Parlamentets og Rådets forordning (EU) 2016/679, artikel 37 til 39.
Spørgsmål 1: Er I en offentlig myndighed eller et offentligt organ?
Ja: I skal have en DPO. Det følger af artikel 37, stk. 1, litra a. Det gælder uanset, hvilke oplysninger I behandler. Domstole er kun undtaget, når de handler i deres egenskab af domstol.
Nej: Gå videre til spørgsmål 2.
Spørgsmål 2: Består jeres kerneaktiviteter i regelmæssig og systematisk overvågning af personer i stort omfang?
Ja: I skal have en DPO efter artikel 37, stk. 1, litra b.
Nej: Gå videre til spørgsmål 3.
Det afgørende ord er kerneaktiviteter. Det er de aktiviteter, der er nødvendige for at nå virksomhedens formål. Løn, personaleadministration og almindelig IT-drift er støttefunktioner, som alle virksomheder har, og de udløser normalt ikke pligten alene.
Overvågning dækker blandt andet sporing af adfærd på nettet, profilering til markedsføring, lokationsdata fra apps og køretøjer og loyalitetsprogrammer, der følger kundernes køb. Forordningen definerer ikke, hvad stort omfang er. Det beror på en konkret vurdering af antallet af personer, mængden af data, hvor længe behandlingen varer, og hvor stort et geografisk område den dækker.
Spørgsmål 3: Består jeres kerneaktiviteter i behandling af følsomme oplysninger eller oplysninger om straffedomme i stort omfang?
Ja: I skal have en DPO efter artikel 37, stk. 1, litra c.
Nej: Gå videre til spørgsmål 4.
Følsomme oplysninger er de særlige kategorier i artikel 9, for eksempel helbredsoplysninger, biometriske data, fagforeningsmæssigt tilhørsforhold og oplysninger om seksuel orientering. Oplysninger om straffedomme og lovovertrædelser står i artikel 10. Igen er det kerneaktiviteten og omfanget, der afgør det.
Spørgsmål 4: Kræver anden lovgivning en DPO?
Artikel 37, stk. 4, åbner for, at EU-retten eller national ret kan stille krav ud over stk. 1. Er I i en branche med særlige regler, så undersøg, om de indeholder et sådant krav.
Ja: I skal have en DPO.
Nej: I har ikke pligt. Overvej i stedet, om I alligevel har behov for en.
Hvis I ikke har pligt
Mange virksomheder uden pligt vælger at få hjælp til databeskyttelsen alligevel, fordi kunder, samarbejdspartnere eller forsikringen spørger til det.
Vælger I frivilligt at udpege en egentlig databeskyttelsesrådgiver, skal I regne med, at forordningens regler om rollen også gælder. Ønsker I hjælp uden de bindinger, kan I give funktionen en anden titel, for eksempel GDPR-ansvarlig, og beskrive opgaverne i en aftale.
Uanset valget er det en god idé at skrive ned, hvorfor I er nået frem til det. Så kan I vise, at vurderingen er foretaget, hvis Datatilsynet eller en kunde spørger.
Hvis I skal have en DPO
Når pligten er der, stiller forordningen krav til både person og placering:
- Rådgiveren skal udpeges på grundlag af faglige kvalifikationer, særligt ekspertise i databeskyttelse (artikel 37, stk. 5).
- Rådgiveren kan være ansat eller udføre hvervet på grundlag af en tjenesteydelseskontrakt (artikel 37, stk. 6). En ekstern DPO er altså en fuldt lovlig løsning.
- Kontaktoplysningerne skal offentliggøres og meddeles til Datatilsynet (artikel 37, stk. 7).
- Rådgiveren må ikke modtage instrukser om udførelsen af opgaverne, må ikke afskediges eller straffes for at udføre dem og rapporterer direkte til det øverste ledelsesniveau (artikel 38, stk. 3).
- Andre opgaver, rådgiveren har i organisationen, må ikke medføre en interessekonflikt (artikel 38, stk. 6).
Det sidste punkt gør det svært at placere rollen internt. Den, der træffer beslutninger om, hvordan persondata behandles, kan ikke samtidig kontrollere de beslutninger.
Beslutningstræet i kort form
- Offentlig myndighed? Ja: DPO er påkrævet.
- Overvågning i stort omfang som kerneaktivitet? Ja: DPO er påkrævet.
- Følsomme oplysninger eller straffedomme i stort omfang som kerneaktivitet? Ja: DPO er påkrævet.
- Krav i anden lovgivning? Ja: DPO er påkrævet.
- Nej til alle fire: Ingen pligt. Dokumentér vurderingen, og tag stilling til, om I har brug for hjælp alligevel.
Som ekstern DPO kombinerer jeg kendskabet til reglerne med mere end 30 års erfaring med IT-sikkerhed. Det er en fordel, når jeres tekniske foranstaltninger skal vurderes i praksis.
Hvem i jeres virksomhed har taget stilling til, om I er forpligtet, og hvor står vurderingen skrevet?
Er I i tvivl om, hvor I står? Ring til mig på 70 13 63 23, eller send en besked via formularen.
