Hvilke aksjeselskaper er pålagt å ha et personvernombud?

Hvem trenger et personvernombud i aksjeselskapet?

Personvernforordningen (GDPR) setter klare krav til hvordan selskaper håndterer personopplysninger. Et av disse kravene er å utnevne et personvernombud i visse tilfeller. Men hvilke aksjeselskaper er egentlig pliktig til å ha et slikt ombud?

Loven er tydelig: Aksjeselskaper som systematisk og i stor skala overvåker personer eller behandler sensitive personopplysninger, inkludert opplysninger om straffbare forhold, er pålagt å ha et personvernombud. Dette er ikke et generelt krav til alle aksjeselskaper, men gjelder kun spesifikke virksomheter.

Nøkkelpunkter:

• Systematisk overvåking: Det må være en regelmessig og organisert praksis for å overvåke eller samle inn personopplysninger. En engangs- eller sporadisk handling er ikke nok.
• Stor skala: Det må være en betydelig mengde personopplysninger som behandles. Omfanget er avgjørende. En liten virksomhet som behandler et fåtall personopplysninger, faller ikke under kravet.
• Sensitive personopplysninger: Dette inkluderer ikke bare informasjon om straffbare forhold, men også opplysninger om helse, rase, religion, seksuell legning, eller andre opplysninger som enkeltpersoner mener er private og sensitive.
• Hovedaktivitet: Virksomheten må ha personvern som sin primære, eller en vesentlig, drift.

Eksempler på virksomheter som potensielt kan være pålagt:

• Sikkerhetsselskaper: Disse kan bruke overvåkingsteknologi og behandle data om personer som befinner seg på et sted.
• Søkeside/søkemotoroperatører: De samler inn og behandler data om brukerne sine på en systematisk måte.
• Bedrifter som bruker biometriske data: F.eks. for identifikasjon eller sikkerhetskontroll.
• Virksomheter som behandler opplysninger om straffbare forhold: Spesielt innenfor justissektoren eller kontrollorganer.
• Store markedsføringsbyråer: Som systematisk samler inn og analyserer kundedata.

Viktig å huske:

Bestemmelsen av om et aksjeselskap er pålagt å ha et personvernombud er ikke alltid selvsagt. Hensiktsmessig er å evaluere om virksomhetens personvernpraksis oppfyller kriteriene nevnt ovenfor. Hvis man er i tvil, er det alltid best å konsultere med en personvernjurist for å sikre at selskapet overholder gjeldende lovverk.

Konklusjon:

Kravet til å ha et personvernombud er ikke generelt for alle aksjeselskaper. Det gjelder spesifikke selskaper som systematisk og i stor skala behandler personopplysninger, og hvor dette utgjør en vesentlig del av virksomheten. En nøye vurdering av virksomhetens praksis og databehandlingsaktiviteter er avgjørende for å forstå lovpålagte krav.