Personvernombud

Et personvernombud er en person som gir råd om og kontrollerer en virksomhets etterlevelse av personvernreglene, og som de registrerte og Datatilsynet kan henvende seg til. Kapitlet er for den som skal avgjøre om en virksomhet har plikt til å ha et ombud. Det svarer på når plikten inntrer, hvilke oppgaver ombudet har og hvordan uavhengigheten skal sikres.

Hva loven krever

Når et ombud er påkrevd

Plikten står i artikkel 37 nr. 1:

«Den behandlingsansvarlige og databehandleren skal utpeke et personvernombud når a. behandlingen utføres av en offentlig myndighet eller et offentlig organ, bortsett fra domstoler som opptrer innenfor rammen av sin domsmyndighet, b. den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandlingsaktiviteter som på grunn av sin art, sitt omfang og/eller formål krever regelmessig og systematisk monitorering i stor skala av registrerte, eller c. den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandling i stor skala av særlige kategorier av opplysninger i henhold til artikkel 9 eller personopplysninger om straffedommer og lovovertredelser som nevnt i artikkel 10.»¹

Vår vurdering: bokstav b har fem elementer som alle må være til stede: behandlingen må høre til kjernevirksomheten, og den må kreve monitorering som er regelmessig, systematisk, i stor skala og av registrerte ². Bokstav c gjelder særlige kategorier, det vil si blant annet opplysninger om religion, politisk oppfatning, fagforeningsmedlemskap og helse ³.

Utenfor disse tilfellene er ombud frivillig: den behandlingsansvarlige kan utpeke et ombud, og må bare gjøre det der unionsretten eller nasjonal rett krever det ⁴. Personopplysningsloven § 19 åpner for nasjonale regler: «Kongen kan gi forskrift om plikt til å utpeke personvernombud.»⁵

Hvem som kan være ombud

Ombudet skal utpekes «på grunnlag av faglige kvalifikasjoner og særlig på grunnlag av dybdekunnskap om personvernlovgivning og praksis på området»⁶. Ombudet «kan være en ansatt hos den behandlingsansvarlige eller databehandleren eller utføre oppgavene på grunnlag av en tjenesteavtale»⁷. Kontaktopplysningene skal offentliggjøres og meldes til tilsynsmyndigheten ⁸.

Ombudets stilling

Ombudet skal «på riktig måte og i rett tid involveres i alle spørsmål som gjelder vern av personopplysninger»⁹. Den behandlingsansvarlige skal stille ressurser og tilgang til rådighet ¹⁰. Uavhengigheten er sikret slik: «Den behandlingsansvarlige og databehandleren skal sikre at personvernombudet ikke mottar instrukser om utførelsen av nevnte oppgaver. Vedkommende skal ikke avsettes eller straffes av den behandlingsansvarlige eller databehandleren for å utføre sine oppgaver. Personvernombudet skal rapportere direkte til det høyeste ledelsesnivået»¹¹. «De registrerte kan kontakte personvernombudet angående alle spørsmål om behandling av deres personopplysninger»¹². Ombudet kan ha andre oppgaver, men den behandlingsansvarlige skal sikre at de «ikke fører til en interessekonflikt»¹³. Personopplysningsloven § 18 gir ombudet taushetsplikt om blant annet personlige forhold og sikkerhetstiltak ¹⁴.

Ombudets oppgaver

Artikkel 39 nr. 1 lister minimumsoppgavene. Ombudet skal blant annet «informere og gi råd til den behandlingsansvarlige»¹⁵, «kontrollere overholdelsen av denne forordning»¹⁵, «på anmodning gi råd om vurderingen av personvernkonsekvenser og kontrollere gjennomføringen av den i henhold til artikkel 35»¹⁵, og «samarbeide med tilsynsmyndigheten»¹⁵. Ombudet har også en rolle andre steder i forordningen: ved en vurdering av personvernkonsekvenser (DPIA) skal den behandlingsansvarlige rådføre seg med ombudet, «dersom et personvernombud er utpekt»¹⁶, og ombudet er kontaktpunktet i en avviksmelding med mindre et annet kontaktpunkt oppgis ¹⁷.

Hva Datatilsynet sier

Datatilsynet beskriver rollen slik: «Personvernombudene er sentrale i virksomhetenes etterlevelse av personvernlovgivningen, og skal ha en uavhengig rolle.»¹⁸ Og: «Ombudets rolle er å gi råd til ledelsen og andre i virksomheten, men også å kontrollere etterlevelsen av regelverket.»¹⁹ Ombudet er i tillegg kontaktpunkt for de registrerte og Datatilsynet ²⁰.

Tilsynets trinn-for-trinn-veileder definerer begrepene i artikkel 37 nr. 1 bokstav b. Definisjonene er forenklinger laget for veilederen, ikke lovtekst:

Datatilsynets side «Hvem må ha personvernombud?» utdyper begrepene. Om hovedvirksomhet: «Hvis behandling av personopplysninger er uløselig forbundet med virksomhetens produkter eller tjenester skal det ses på som en hovedvirksomhet.»²⁶ Om stor skala: «Eksempler på aktører som foretar behandling av personopplysninger i stor skala er sykehus, offentlige transportsystemer i en by, banker, forsikringsselskaper, søkemotorer på internett og internett- og teletilbydere.»²⁷ Om monitorering: «Oppsummert omfatter «monitorering» i denne sammenhengen alle former for sporing og profilering av personer.»²⁸ Og om dokumentasjon: «Med mindre det er helt opplagt at en virksomhet ikke er pålagt å ha ombud anbefaler Datatilsynet at virksomheten dokumenterer de vurderingene som har blitt gjort dersom personvernombud ikke blir opprettet.»²⁹

Tilsynet viser i tillegg til Artikkel 29-gruppens veiledning om personvernombud ²⁰. Den er ikke i kildelisten, og guiden bygger ikke på den.

Hvordan plikten vurderes

Om en virksomhet må ha personvernombud, avgjøres av vilkårene i artikkel 37. Stor datamengde er ikke alene avgjørende. Etter nr. 1 bokstav b må kjernevirksomheten bestå av behandlingsaktiviteter som etter sin art, sitt omfang eller sitt formål krever regelmessig og systematisk monitorering av registrerte i stor skala. Bokstav c gjelder kjernevirksomhet som består av behandling i stor skala av særlige kategorier eller opplysninger om straffedommer og lovovertredelser. ^{30 31}

Vurderingen må bygge på virksomhetens faktiske aktiviteter, opplysningskategorier, omfang og formål. Daglige oppdateringer eller et høyt antall registrerte avgjør ikke alene om alle vilkårene er oppfylt. Virksomheten bør dokumentere vurderingen. ^{32 31}

En intern personvernansvarlig er ikke automatisk et personvernombud. Dersom et ombud utpekes, gjelder kravene til faglige kvalifikasjoner, uavhengighet, oppgaver og fravær av interessekonflikter. Disse kravene gjelder også ved frivillig utpeking. ³³

Dette kapitlet forklarer reglene generelt. Byggsikts kontaktpunkt for spørsmål om personvern og dine rettigheter finner du i personvernerklæringen.

Kilder

• Personopplysningsloven med personvernforordningen i norsk EØS-tekst ³⁴
• Datatilsynet — Personvernombud ²⁰
• Datatilsynet — Hvem må ha personvernombud? Trinn-for-trinn-veileder ³²
• Datatilsynet — Hvem må ha personvernombud? ³¹