Hvornår har vi brug for en DPO?

En Data Protection Officer (DPO) er en medarbejder, der er ansvarlig for at sikre overholdelse af dataforordninger i en organisation. Ifølge EU’s dataforordning (GDPR) er det obligatorisk for visse organisationer at have en DPO. Den dataansvarlige skal være i stand til at levere objektiv rådgivning til virksomheden, når det drejer sig om overholdelse af dataforordninger.

Virksomheder skal have en DPO, hvis de opfylder mindst én af følgende betingelser:

1. Offentlige myndigheder og organer: Alle offentlige myndigheder og organer skal have en DPO.
2. Behandling af personoplysninger i stor skala: Hvis en virksomhed udfører behandling af personoplysninger på en sådan måde, at det kræver regelmæssig og systematisk overvågning af berørte personer i stor skala, eller hvis virksomheden behandler særlige kategorier af personoplysninger (f.eks. sundhedsoplysninger eller oplysninger om straffedomme), skal de have en DPO.
3. Offentlig myndighed eller organ, der behandler personoplysninger: Selvom ikke alle offentlige myndigheder og organer behøver at have en DPO, skal nogle af dem have det, især hvis de udfører behandling af personoplysninger, der kræver regelmæssig og systematisk overvågning.

Selvom det kun er obligatorisk for visse organisationer at have en DPO ifølge GDPR, kan andre virksomheder også vælge at ansætte en DPO frivilligt som en del af deres indsats for at beskytte personoplysninger og overholde databeskyttelsesreglerne. Det kan være en god praksis for enhver organisation, der behandler personoplysninger i betydeligt omfang, at have en person med ansvar for databeskyttelse og overholdelse af privatlivsregler.

For at sikre uafhængighed og muligheden for at levere objektiv rådgivning til virksomheden, er det en god idé at lade jeres Data Protection Officer en ekstern konsulent. I princippet kan en DPO være en intern medarbejder, men i så fald er det problematisk at sikre uvildig vejledning. Vi ser dog tit at det er den øverste IT-ansvarlige eller den øverste HR-ansvarlige, som bestrider stillingen.

Hvis jeg beslutter, at jeg ikke er forpligtet til at ansætte en DPO, er det en klog beslutning at dokumentere jeres overvejelser. Dette tjener som dokumentation for, at jeg har grundigt overvejet behovet for en DPO, hvilket kan være værdifuldt i tilfælde af et datatilsyn.

At holde styr på at virksomheden behandler personoplysninger på en ordentlig måde er en omfattende opgave. Det involverer mange processor som er tidskrævende og ressourcetunge; identificering af jeres filer med persondata, udarbejdelse af politikere, opfølgning af medarbejdernes processer, opdatering af IT-systemer etc. Ved at gøre brug af specifikt GPDR-software kan I hjælpe jeres dataansvarlige når det drejer sig om de tungeste, manuelle opgaver. Læs mere om GDPR-software her.