Trenger bedriften min personvernombud?

Kjernevirksomhet er noe annet enn det du gjør ved siden av

Det avgjørende skillet går mellom det som er selve forretningsmodellen din, og det du gjør som en naturlig bibeskjeftigelse. Et bakeri som behandler lønnsdata for de ansatte, driver ikke kjernevirksomhet knyttet til personopplysninger, selv om lønnskjøring skjer hver måned. Et selskap som lever av å analysere kundeadferd i stor skala, eller som Heges forsikringsselskap vurderer helseopplysninger for å prise risiko, har derimot gjort nettopp denne behandlingen til selve virksomheten. Still deg selv spørsmålet om bedriften kunne eksistert uten denne konkrete databehandlingen. Kan den ikke det, er du nærmere kravet enn du kanskje trodde. Er du usikker på om bedriften din er behandlingsansvarlig eller databehandler i denne sammenhengen, avgjør det også hvem plikten faktisk hviler på. Et byggefirma som fører personallister og sender faktura til kunder, driver heller ikke kjernevirksomhet knyttet til personopplysninger, selv om det behandler navn og kontonumre daglig. Spørsmålet som teller, er om selve forretningsideen forutsetter storskala behandling av personopplysninger, ikke om bedriften i det hele tatt har ansatte eller kunder å holde styr på.

Antall personer betyr mer enn antall ansatte i bedriften

Størrelsen på bedriften din sier lite om hvorvidt kravet gjelder. En liten oppstart som bygger en helseapp med femti tusen brukere, kan fort havne under kravet, mens en produksjonsbedrift med to hundre ansatte og helt vanlige personaldata ikke gjør det. Hva som regnes som stort omfang, vurderes ut fra antall registrerte, mengden data per person, hvor lenge dataene lagres, og det geografiske nedslagsfeltet. Heges selskap hadde riktignok bare femten ansatte, men vurderte helseopplysninger for flere tusen forsikringstakere hvert år, og det var dette som avgjorde saken. Systematisk overvåking i denne sammenhengen omfatter blant annet profilering av kundeadferd, sporing av lokasjon over tid, og automatiserte beslutninger som påvirker den enkelte, ikke bare det å føre et ordinært kunderegister. Driver bedriften din for eksempel en tjeneste som kartlegger brukernes bevegelsesmønster kontinuerlig, nærmer du deg fort grensen selv med et lite antall ansatte.

Frivillig ombud følger nesten de samme reglene som et pliktig

Utpeker du et personvernombud selv om du strengt tatt ikke er pålagt det, gjelder som hovedregel de samme kravene til uavhengighet og oppgaver som om ombudet var lovpålagt. Mange velger dette likevel, fordi det gir kundene og de ansatte et fast kontaktpunkt, og fordi det er enklere å vise Datatilsynet at bedriften tar personvern på alvor. Hege endte med å formalisere en rolle hun i praksis allerede hadde, og meldte navnet på ombudet både internt og til Datatilsynet. Har bedriften allerede en personvernerklæring, bør ombudets navn og kontaktinformasjon også stå der, slik at kundene vet hvem de kan henvende seg til. Har du utpekt et ombud, skal navn og kontaktopplysninger meldes til Datatilsynet på samme måte som ved et pliktig ombud, slik at både tilsynet og de registrerte vet hvem de kan henvende seg til direkte.

Ombudet rapporterer til toppledelsen, og kan ikke selv styre databruken

Ombudet skal ha en uavhengig stilling og rapportere direkte til toppledelsen, ikke til IT-avdelingen eller markedsavdelingen som selv bruker dataene i det daglige. Det betyr at samme person sjelden kan være både databeskyttelsesansvarlig og for eksempel markedssjef, fordi rollene lett kommer i konflikt med hverandre. Ombudet skal heller ikke kunne bli straffet eller sagt opp for å gjøre jobben sin riktig, selv når konklusjonen er ubehagelig for ledelsen å høre. Er bedriften liten, kan løsningen være å hente inn et ombud som ekstern rådgiver noen timer i måneden, i stedet for å presse rollen inn i en stilling som allerede har andre, motstridende oppgaver.

Hva ombudet gjør, og hva daglig leder fortsatt sitter med ansvaret for

Ombudet overvåker at bedriften følger regelverket, gir råd til ledelsen, er kontaktpunkt for Datatilsynet og for de registrerte, og bidrar i vurderinger som personvernkonsekvensvurderinger. Det juridiske ansvaret for at bedriften faktisk følger reglene, ligger likevel fortsatt hos daglig leder og styret, ikke hos ombudet selv. Hege ser på ombudsrollen som et rådgivende sikkerhetsnett, ikke som en avlastning av eget ansvar, og det er nøyaktig slik reglene er bygget opp. I praksis betyr rollen faste, korte gjennomganger av nye systemer før de tas i bruk, opplæring av ansatte i grunnleggende personvern, og en rutine for hvordan henvendelser fra kunder om egne data håndteres. Se også hva bedriften uansett må ha på plass i GDPR for småbedrift, enten den har ombud eller ikke.

Kort oppsummert

• Kravet om personvernombud avhenger av kjernevirksomheten og omfanget av behandlingen, ikke av antall ansatte.
• Systematisk storskala overvåking eller storskala behandling av særlige kategorier opplysninger, som helse, utløser plikten.
• Et frivillig utpekt ombud følger som hovedregel de samme reglene om uavhengighet og oppgaver som et pliktig ombud.
• Ombudet skal rapportere til toppledelsen og kan ikke samtidig ha ansvar for hvordan dataene brukes operativt.
• Det juridiske ansvaret for etterlevelse ligger uansett hos daglig leder og styret, ikke hos personvernombudet.