Persondataforordning: Skal I have en Data Protection Officer?
Ganske mange virksomheder er nødt til at udpege en Data Protection Officer (DPO) eller Databeskyttelsesrådgiver med persondataforordning. Det gælder fx hvis man har en app med personoplysninger eller huser et større loyalitetsprogram eller anden kundedatabase.
Det er Persondataforordning, som træder i kraft til maj næste, som medfører et krav om en Data Protection Officer (DPO) eller Databeskyttelsesrådgiver i visse virksomheder.
En DPO er en form for intern databeskyttelsesombudsmand, der skal understøtte, at virksomheden overholder reglerne i persondataforordningen.
Personen skal inddrages i alle spørgsmål, der drejer sig om databeskyttelse, og er også virksomhedens kontaktperson til Datatilsynet, skriver IT-Branchen i et indlæg i deres nyhedsbrev.
Kort fortalt skal din virksomhed have en DPO, hvis:
- Jeres kerneaktivitet er behandling af personoplysninger,
- Der sker behandling af personoplysninger i et stort omfang, og
- behandlingen er regelmæssig og systematisk overvågning af personer eller
- behandlingen omfatter følsomme oplysninger eller oplysninger om strafbare forhold.
- Virksomheder, hvis produkt eller tjeneste direkte består i behandling af personoplysninger, vil skulle have en DPO, da deres kerneaktivitet er behandling af personoplysninger.
Man skal derfor have en DPO, hvis man som hovedaktivitet i virksomheden tilbyder eksempelvis cloud computing, hosting af hjemmesider/data, søgemaskiner, teleselskab, markedsundersøgelser, er internetudbyder eller har apps baseret på personoplysninger.
Virksomheder, hvis kerneaktivitet består af behandling af personoplysninger, skal dog også opfylde de to øvrige betingelser, førend virksomheden er forpligtet til at udpege en DPO.
Behandlingen skal nemlig også ske i et stort omfang, hvilket vil sige, at der skal være tale om en stor mængde personoplysninger, oplysninger om et stort antal personer, behandling af lang varighed og/eller stor geografisk udstrækning af behandlingsaktiviteterne.
Som eksempler på virksomheder nævner Datatilsynet i deres vejledning søgemaskiner og tele- og internetudbydere, der behandler personoplysninger i stort omfang.
Sidst, men ikke mindst, skal man også behandle data ved regelmæssig og systematisk overvågning af personer, eller man skal behandle følsomme oplysninger eller oplysninger om strafbare forhold.
Regelmæssig og systematisk overvågning af personer sker typisk, hvis man tilbyder lokalitetstracking via apps, adfærdsbaseret annoncering, e-mail retargeting, loyalitetsprogrammer eller har tilsluttede enheder som f.eks. intelligente målere.
Da en DPO skal være uafhængig og i stand til at udøve uvildig rådgivning til virksomheden, må en DPO ikke være den øverste IT-ansvarlige eller den øverste HR-ansvarlige i virksomheden, lyder det fra IT-Branchen.
Læs hele IT-Branchens indlæg her.
Læs Datatilsynets vejledning om DPO her
