Persondata og de registreredes rettigheder
Skal min virksomhed have en databeskyttelsesrådgiver (DPO)?
Sidst efterset . Vi forklarer reglerne, som vi læser dem; det er ikke juridisk rådgivning.
De fleste små virksomheder skal ikke. Pligten gælder, hvis kerneydelsen er omfattende, systematisk overvågning eller behandling af følsomme oplysninger i stort omfang. Almindelig HR og kundehåndtering er ikke kerneaktivitet. Offentlige myndigheder skal derimod altid have en.
Sådan gør du
- Skriv, hvad I lever af. Er databehandling selve ydelserne, eller er den en biaktivitet?
- Tjek om I overvåger personer regelmæssigt og systematisk i stort omfang.
- Tjek om I behandler følsomme oplysninger eller straffedata i stort omfang.
- Er svaret nej, så udpeg kun en rådgiver, hvis I selv vil. Ansvaret forsvinder ikke.
- Er svaret ja, så udpeg en med tilstrækkelig viden, internt eller eksternt.
Tjekliste
Det kræver loven
En privat virksomhed skal kun have en databeskyttelsesrådgiver, hvis kerneaktiviteten er databehandling i stort omfang med regelmæssig, systematisk overvågning, eller behandling af følsomme oplysninger eller straffedata i stort omfang. Kerneaktivitet betyder, at databehandlingen er selve ydelserne, ikke almindelig HR eller kundehåndtering, så et hotel med gæsteoplysninger rammes typisk ikke. Offentlige myndigheder og organer skal altid have en, undtagen domstole i deres dømmende funktion. GDPR-ansvaret forsvinder ikke, bare fordi der ikke er pligt til en rådgiver.
Gælder det mig?
- Hotel med gæstelister
- Typisk nej: gæstedata er ikke kerneydelsen, og almindelig kundehåndtering udløser ikke pligten. I skal stadig have styr på oplysningerne.
- Markedsanalysefirma med tracking
- Måske ja, hvis kerneydelsen er omfattende, systematisk overvågning af personer. Så skal I udpege en rådgiver med tilstrækkelig viden.
- Kommuneafdeling med borgersager
- Offentlige myndigheder skal som udgangspunkt have en databeskyttelsesrådgiver, også når de er små. Domstole i deres dømmende funktion er undtaget.
Typiske fejl
- At udpege en DPO af forsigtighed uden at vide, hvad rollen kræver.
- At tro, at ansatte eller en kontaktformular i sig selv udløser pligten.
- At lade være med at have styr på personoplysninger, fordi I ikke skal have en DPO.
- At glemme, at offentlige organer har pligten, også når de er små.
Ordbog og definitioner
- Databeskyttelsesrådgiver
- Den uafhængige rådgiver, også kaldet DPO, som visse virksomheder og alle offentlige myndigheder skal udpege.
- Kerneaktivitet
- Det, virksomheden lever af, hvor almindelig HR og kundehåndtering er biaktivitet og ikke kerneaktivitet.