Ny vejledning om DPO'er: Private virksomheder er kun i få tilfælde forpligtet til at udpege en databeskyttelsesrådgiver
Justitsministeriet har i samarbejde med Datatilsynet, Digitaliseringsstyrelsen og Erhvervsstyrelsen netop offentliggjort en vejledning, som redegør for kravene til at udpege en DPO samt dennes opgaver, kvalifikationer, stilling og inddragelse. Vejledningen giver bl.a. private virksomheder bedre forudsætninger for at vurdere, hvornår de er forpligtet til at udpege en DPO.
I vejledningen stilles der skarpt på DPO'ens rolle og funktion i en organisation. F.eks. bliver det fastlagt, at DPO'en ikke er en del af Datatilsynet og heller ikke fungerer som tilsynets repræsentant. Dog indtager DPO'en en særlig rolle i forhold til Datatilsynet, og vedkommende vil da også fungere som tilsynsmyndighedens kontaktperson.
Herudover giver vejledningen svar på, hvilke interne medarbejdere, der kan eller ikke kan besidde DPO-rollen, hvilke krav der stilles til faglige kvalifikationer samt krav til organisationens inddragelse af DPO’en – dog uden, at man bliver meget klogere på DPO’ens funktion, end hvad vi i forvejen ved fra Justitsministeriets betænkning.
Hvornår er private virksomheder forpligtet til at udpege en DPO?
Som Justitsministeriet også har udtalt i forbindelse med offentliggørelsen af deres betænkning, skal private virksomheder i de fleste tilfælde ikke udpege en DPO.
Men før man ånder lettet op, skal man spørge sig selv om følgende: har min virksomhed en kerneaktivitet bestående af:
- Behandling af personoplysninger, som kræver regelmæssig og systematisk overvågning af registrerede i stort omfang, eller
- Behandling i stort omfang af følsomme oplysninger eller oplysninger om strafbare forhold
Hvis svaret er ja, er du forpligtet til at udpege en DPO.
Til forklaring af disse begreber giver vejledningen flere eksempler på, hvad der udgør en "kerneaktivitet", en "behandling i stort omfang" og en "regelmæssig og systematisk overvågning af den registrerede".
Persondatabehandling som kerneaktivitet:
En "kerneaktivitet" kan ifølge vejledningen bestå af cloud-computing, søgemaskiner og applikationer baseret på personoplysninger. Derudover angiver vejledningen, at reklamebureauer, der udbyder marketingsundersøgelser, teleselskaber eller internetudbydere anses for at have behandling af personoplysninger som sin kerneaktivitet.
Persondatabehandling i stort omfang:
Følgende organisationer eller aktiviteter anses i vejledningen for at behandle persondata "i stort omfang": privathospitaler, større landsdækkende forsikringsselskaber og telefoni- og internetudbydere. Derudover anses følgende aktiviteter for at udgøre behandling i stort omfang: sporing via f.eks. rejsekort og en søgemaskines behandling af personoplysninger.
Regelmæssig og systematisk overvågning af registrerede personer
Regelmæssig og systematisk overvågning af registrerede personer vil omfatte tracking eller profilering via internettet til brug for risikovurderinger eller adfærdsbaseret annoncering (targeted advertising).
Eksempler på private virksomheder, der skal overveje en DPO:
I vejledningen angives det, at følgende virksomheder kan opfylde alle tre betingelser:
- Privathospitaler,
- Større forsikringsselskaber,
- Teleselskaber, og
- Marketingsfirmaer, der udbyder marketingsundersøgelser.
Hvorimod følgende virksomheder blot vil opfylde nogle af betingelserne:
- Mindre privathospitaler,
- Mindre forsikringsselskaber,
- Mindre lægepraksis,
- Større virksomheder, hvor behandling af personoplysninger kun er en biaktivitet, og altså ikke en kerneaktivitet.
Frivillig udpegning af en DPO:
Under alle omstændigheder kan en privat virksomhed frivilligt udpege en DPO. Dog vil man i disse tilfælde blive "fanget" af de samme krav, som hvis virksomheden var forpligtet til at udpege en DPO. Kravene til opgaver, kvalifikationer, stilling, beskyttelse og inddragelse skal derfor altid overholdes, når en organisation ansætter en til at påtage sig rollen som databeskyttelsesrådgiver.
Hvis du ønsker at læse mere, kan du finde vejledningen her.
Bird & Bird kommentar
Vejledningen om databeskyttelsesrådgivere er blot en af flere, der vil blive offentliggjort i løbet af efteråret 2017. Bird & Bird følger udviklingen tæt og vil løbende holde dig opdateret på indholdet af disse samt kommende ny persondatelovgivning.
