Hvilke bedrifter må ha personvernombud?

Når må en bedrift ha personvernombud?

Når må en bedrift ha personvernombud? Bedrifter må ha personvernombud hvis hovedvirksomheten er storskala, regelmessig og systematisk overvåking av personer, eller storskala behandling av sensitive personopplysninger eller opplysninger om straffedommer.

Personvernombud, ja. Fikk flashbacks til den GDPR-jobben jeg hadde i Sandefjord. Herregud, for et styr. Alle var jo livredde for å gjøre feil. Spesielt dette med "stor skala". Hva betyr det egentlig? Er jo ikke et fast tall.

Alle offenltige myndigheter må ha det. Uansett. Sykehus, NAV, kommuner. Logisk nok. Tenk på all den infoen de sitter på. Skulle bare mangle.

Hovedvirksomhet er et nøkkelord her. Driver du en nettbutikk som selger sokker, men har et lojalitetsprogram som sporer kunder, er neppe sporingen hovedvirksomheten din. Men for et kredittsjekk-firma? Absolutt.

Her er noen eksempler på sensitive opplysninger:

• Helseinfo
• Biometriske data (ansiktsgjenkjenning)
• Politisk ståsted
• Fagforeningsmedlemskap
• Seksuell orientering

Regelmessig og systematisk monitorering høres så teknisk ut. Men det er jo bare snakk om ting som sporing av folk via apper, kameraovervåking på et kjøpesenter, eller analyse av nettverkstrafikk. Alt som følger med på hva folk gjør over tid. En kompis i IT-bransjen sier dette er det kundene hans sliter mest med å forstå.

Og de lovparagrafene... Artikkel 9 og 10. De er tunge greier. Handler om de ekstra sensitive opplysningene og data om straffbare forhold. Ikke rart folk blir forvirra og bare ansetter et ombud for å være på den sikre siden. Koster penger, men billigere enn en bot fra Datatilsynet.

Når må en bedrift ha personvernombud?

Bedrifter må ha personvernombud ved storskala, regelmessig overvåking av personer, eller storskala behandling av sensitive personopplysninger.

Så, er hovedgeskjeften din å leke Storebror ser deg i stor stil? Driver du med systematisk snoking på hva folk driver med på nett, hvor de går, eller hva de kjøper av potetgull på en tirsdag? Da MÅ du ha en bremsekloss, unnskyld, et personvernombud.

Eller kanskje du samler på folkets dypeste, mørkeste hemmeligheter? Tenk helseopplysninger, seksuell legning, eller hvem de i hemmelighet heier på i Kompani Lauritzen. Hvis dette er kjernen i butikken din, og du gjør det i stort monn, må du få inn en profesjonell gledesdreper som passer på at du ikke bruker dataene til å lage en personlighetsklone av kundene dine.

Fetteren min, Kåre, trodde han kunne drive en app som matchet folk basert på tannlegejournalen deres uten ombud. Det ble en dyr lærepenge og veldig få dater.

• Offentlige organer: De slipper aldri unna. De MÅ ha et ombud. Uansett. Ingen bønn. Sykehus, kommuner, politi, you name it. De vasser i sensitive data til anklene.

• Hva i alle dager betyr 'storskala'?: Ikke at du har kundelista til den lokale pølsebua di på en Post-it-lapp. Vi snakker om behandling av data fra en hel by, en diger nasjonal kundegruppe, eller systematisk sporing av tusenvis av app-brukere.

• Intern eller ekstern?: Du kan ansette en person på heltid til å sukke over de ville ideene dine, eller du kan leie inn en konsulent som gjør det på timebasis. Valget er ditt, så lenge noen tar den kjipe jobben med å lese GDPR-reglene til frokost.

Hvem kan være personvernombud?

Et personvernombud er en ansatt. Eller en fra utsiden. Det er valget som gis.

Den interne kjenner strukturen. Kjenner folket. Kjenner de uskrevne reglene. Den eksterne kjenner bare loven. Har ingen bånd. Det handler om lojalitet. Enten til systemet, eller til prinsippet.

• Kompetanse er avgjørende. Personen må ha ekspertkunnskap om personvernlovgivning og praksis. Dette er ikke en birolle. Det er en spesialistfunksjon.

• Ombudet må sikres uavhengighet. De skal ikke motta instrukser om hvordan oppgavene utføres. De rapporterer direkte til øverste ledelse. En tidligere kollega ble presset til å endre en rapport. Han sa opp.

• Unngå interessekonflikter. En person i en lederstilling som bestemmer formål og midler for behandling av personopplysninger, kan ikke være ombud. En IT-sjef eller HR-direktør er derfor uegnet. Man kan ikke være både dommer og deltaker.