Hvornår er en DPO lovpligtig?
GDPR artikel 37 peger på tre situationer, hvor der skal udpeges en databeskyttelsesrådgiver. Når behandlingen foretages af en offentlig myndighed med undtagelse af domstolene. Når kerneaktiviteten består i regelmæssig og systematisk overvågning af registrerede i stort omfang, altså adfærdssporing, lokationsdata eller profilering. Og når kerneaktiviteten er behandling af følsomme oplysninger eller straffedomme i stort omfang, for eksempel sundhedsdata eller biometri.
Ordet “kerneaktivitet” er det, der afgør sagen. Almindelig medarbejder- og kundeadministration udløser ikke kravet, selv om der er persondata i den. En dansk SMV i handel eller produktion skal derfor sjældent have en DPO. Kommuner, regioner og statslige enheder skal altid, og det samme gælder sundhedsaktører og virksomheder, der lever af dataovervågning.
Opgaverne efter artikel 39
Opgaverne står i artikel 39. DPO’en skal informere og rådgive ledelse og medarbejdere om deres forpligtelser, overvåge efterlevelsen af GDPR og de interne politikker, herunder ansvarsfordeling, awareness og audits, rådgive om konsekvensanalyser og følge op på, at de bliver gennemført, og samarbejde med Datatilsynet som tilsynets kontaktpunkt. Dertil kommer rollen som kontaktpunkt for de registrerede, der vil bruge deres rettigheder.
Læg mærke til, hvad der ikke står. DPO’en er rådgiver og vagthund. Ansvaret for efterlevelsen ligger hos den dataansvarlige, altså hos ledelsen, og det bliver liggende der. En DPO gør ansvaret lettere at bære og sværere at overse.
Uafhængighed er det krav, der driller mest
GDPR kræver, at DPO’en rapporterer direkte til øverste ledelse, ikke modtager instrukser om, hvordan opgaverne skal løses, ikke kan afskediges eller straffes for at løse dem, og ikke har interessekonflikter.
Det sidste udelukker i praksis, at IT-chefen, HR-chefen eller direktøren selv tager rollen. Man kan ikke uafhængigt overvåge behandlinger, man selv har besluttet.
Derfor vælger mange en ekstern DPO. En specialist på abonnement leverer uafhængigheden, fagligheden og kontaktpunktet uden en intern ansættelse, og for mindre offentlige enheder er det ofte den eneste realistiske model. Også organisationer uden lovkrav udpeger i stigende grad en frivillig databeskyttelsesrådgiver. Vær opmærksom på, at en formelt udpeget DPO udløser hele regelsættet, inklusive anmeldelse til Datatilsynet og uafhængighedskravene. Frivilligt betyder ikke uforpligtende. Vi leverer rollen som ekstern DPO for både kommuner og virksomheder.
DPO og CISO er ikke det samme
Rollerne bliver forvekslet, men de svarer på hver sit spørgsmål. CISO’en ejer informationssikkerheden og skal kunne svare på, om systemer og data er beskyttet. DPO’en overvåger databeskyttelsen og skal kunne svare på, om I behandler persondata lovligt.
De overlapper på sikkerhedsforanstaltningerne i GDPR artikel 32. Men uafhængighedskravet betyder, at samme person som hovedregel ikke kan have begge roller. CISO’en træffer de beslutninger, DPO’en skal efterprøve.