Personvernombud etter GDPR: når må du ha det?

De tre tilfellene der plikten gjelder

Personvernforordningen artikkel 37 lister tre situasjoner der en behandlingsansvarlig eller databehandler skal utpeke personvernombud. Den første er offentlige myndigheter og organer, med unntak av domstoler når de utøver domstolsfunksjoner. Den andre er virksomheter der kjernevirksomheten består i behandlingsoperasjoner som på grunn av sin art, sitt omfang eller sine formål krever regelmessig og systematisk overvåking av registrerte i stor skala. Den tredje er virksomheter der kjernevirksomheten består i behandling i stor skala av særlige kategorier personopplysninger etter artikkel 9, eller opplysninger om straffedommer og lovovertredelser etter artikkel 10.

Passer ingen av de tre beskrivelsene, har du som hovedregel ikke plikt til å utpeke ombud. Da er det nyttig å kjenne helheten i regelverket, ikke bare denne enkeltbestemmelsen. Regler for nettsider og netthandel: komplett guide for bedrifter samler kravene som gjelder for en vanlig norsk virksomhet, fra personvernerklæring til behandlingsprotokoll.

For en håndverker med kunderegister, fakturaopplysninger og et bilde eller to på nettsiden, er det sjelden plikt. For en nettbutikk som selger vanlige varer, er det også sjelden plikt. Men behandler du helseopplysninger som en del av selve forretningsideen, eller driver omfattende overvåking som er selve poenget med tjenesten, endrer bildet seg. Vurderingen handler om hva virksomheten faktisk gjør, ikke hva den kaller seg.

Kjernevirksomhet, karakter og stor skala

Kjernevirksomhet betyr den behandlingen som er nødvendig for å levere hovedoppgaven din. Lønn, regnskap og vanlig kundeadministrasjon regnes normalt som støttefunksjoner, ikke som kjernevirksomhet. Behandlingen må altså være tett knyttet til det virksomheten lever av, og den må være uunngåelig for å utføre oppgaven.

Stor skala er et skjønnstema, ikke en fast grense. Du ser på antall registrerte personer, mengden opplysninger, hvor lenge behandlingen varer og hvor geografisk spredt den er. En liten nettbutikk som logger besøkstall ligger langt fra dette. Et bookingsystem som samler sensitive opplysninger om mange kunder over tid, kan nærme seg. Det er kombinasjonen av kjernevirksomhet, behandlingens karakter og omfang som avgjør, ikke en bransjeetikett alene.

Sporingsverktøy og annonsepiksler er et typisk område der små virksomheter undervurderer omfanget. Setter du opp detaljert sporing av enkeltpersoners atferd over tid, bør du vurdere om dette er regelmessig og systematisk overvåking, og du må uansett ha orden på samtykke. Informasjonskapsler på nettsiden: dette sier reglene går gjennom hvordan du setter opp dette forsvarlig.

Dette gjør personvernombudet

Etter artikkel 39 skal ombudet gi informasjon og råd til virksomheten om forpliktelsene etter personvernregelverket, overvåke etterlevelsen av regelverket og av interne rutiner, og gi råd om vurdering av personvernkonsekvenser der det er relevant. Ombudet skal også samarbeide med Datatilsynet og fungere som kontaktpunkt i saker som gjelder behandling av personopplysninger.

Rollen er med andre ord todelt: ombudet er både rådgiver og kontrollør internt. Det forutsetter tilgang til det som faktisk skjer i virksomheten, som behandlingsprotokoll, risikovurderinger, databehandleravtaler, avviksmeldinger og rutiner for de registrertes rettigheter. Uten slik dokumentasjon blir kontrollen mest et skinn.

Hvem som er behandlingsansvarlig og hvem som er databehandler, påvirker hva ombudet skal følge opp hos dere og hva som ligger hos leverandøren. Behandlingsansvarlig og databehandler etter GDPR: hvem er hvem? rydder i begrepene. To andre temaer ombudet nesten alltid vil spørre om, er hvor lenge dataene ligger og hvordan de fjernes: Lagringstid etter GDPR: hvor lenge kan du lagre data? og Sletting og makulering av personopplysninger etter GDPR.

Uavhengighet og nok tid

Artikkel 38 stiller krav til hvordan ombudet skal kunne jobbe. Ombudet skal involveres på riktig måte og til riktig tid, ha tilstrekkelige ressurser til å utføre oppgavene og ikke motta instrukser om hvordan oppgavene løses. Ombudet rapporterer direkte til øverste ledelsesnivå og skal ikke kunne sies opp eller straffes for å ha utført jobben sin.

Et vanlig problem i små virksomheter er interessekonflikt. Ombudet bør ikke samtidig ha en rolle der hun eller han bestemmer formål og midler for behandlingen. I praksis betyr det at daglig leder eller eier sjelden er et godt valg som ombud, fordi samme person både bestemmer og skal kontrollere.

Ressurser er den andre fallgruven. Ombudsrollen kan ikke være en oppgave som skyves inn mellom alt annet uten avsatt tid. Skal rollen ha verdi, må det finnes timer, tilgang til systemene og støtte fra ledelsen når rådene skal følges opp. Ellers blir ordningen en formalitet på papiret.

Frivillig ombud og dokumentasjon

Virksomheter som ikke omfattes av plikten, kan likevel utpeke personvernombud frivillig. Datatilsynet oppfordrer til dette, og fører en oversikt over meldte personvernombud. Et frivillig ombud må følge de samme kravene til uavhengighet og ressurser som et pliktig, så det er ikke et steg du bør ta uten å ville bruke rollen.

For de fleste små virksomheter er et bedre første steg å peke ut en person som har ansvar for personvernarbeidet internt, uten at vedkommende kalles personvernombud. Da unngår du å utløse forventningene som følger med rollen, samtidig som noen faktisk følger opp rutinene. Ansvaret bør være skriftlig plassert, ikke bare muntlig avtalt.

Har du vurdert at plikten ikke gjelder, bør du dokumentere vurderingen kort: hva virksomheten gjør, hvilke kategorier opplysninger som behandles, omfang, og hvorfor ingen av de tre kriteriene er oppfylt. En halv side i en intern rutine er nok, og den er nyttig den dagen Datatilsynet spør eller virksomheten vokser inn i plikten. Nettsaga lager nettsider for små bedrifter og kan hjelpe deg å få personvernerklæring, samtykke og skjemaer til å henge sammen med det du faktisk gjør. Se vår tjeneste for nettside, eller book en demo på /book-demo/ om du vil gjennomgå oppsettet ditt.

Vanlige spørsmål

Må en liten bedrift ha personvernombud etter GDPR?

Som hovedregel ikke. Plikten gjelder offentlige myndigheter og organer, og virksomheter der kjernevirksomheten er regelmessig og systematisk overvåking i stor skala, eller behandling i stor skala av særlige kategorier opplysninger eller opplysninger om straffedommer. Vurderingen bør dokumenteres.

Kan daglig leder være personvernombud?

Det er sjelden å anbefale. Ombudet skal være uavhengig og ikke samtidig bestemme formål og midler for behandlingen. I små virksomheter gir det ofte interessekonflikt, og da bør rollen legges til noen andre eller til en ekstern løsning.

Må vi melde personvernombudet til Datatilsynet?

Kontaktinformasjonen til ombudet skal publiseres og meldes til tilsynsmyndigheten, og Datatilsynet fører en oversikt over meldte personvernombud. Sjekk kravene på Datatilsynets egne sider før du melder.

Hva skjer hvis vi har plikt, men ikke utpeker ombud?

Da oppfyller du ikke artikkel 37, og det er et regelbrudd Datatilsynet kan følge opp. I tillegg mister du den interne kontrollen rollen er ment å gi, noe som gjør andre brudd vanskeligere å oppdage.

Kan vi kjøpe personvernombud som ekstern tjeneste?

Ja, ombudet kan være eksternt så lenge rollen er uavhengig, har nødvendig tilgang og får nok tid. Avtal tydelig hvilke oppgaver som inngår, hvordan rapportering til ledelsen skjer og hvem som har ansvar for å følge opp rådene.