TL;DR
Personvernombud er påbudt i de tre tilfellene i art. 37 nr. 1 GDPR og i tillegg i de seksten tilfellene i art. 34 nr. 1 LOPDGDD. Frivillig utpeking etter nr. 2 underlegger virksomheten likevel samme regime som GDPR. I begge tilfeller — påbudt og frivillig — skal utpekinger og fratredelser meldes til AEPD innen ti dager (nr. 3), og listen over ombud er offentlig og elektronisk tilgjengelig (nr. 4).
To lister som legges sammen, ikke to å velge mellom
Art. 37 nr. 1 GDPR krever ombud i tre situasjoner: behandling utført av en offentlig myndighet eller et offentlig organ; kjernevirksomhet som består i behandling som krever regelmessig og systematisk monitorering av registrerte i stor skala; kjernevirksomhet som består i behandling i stor skala av særlige kategorier etter art. 9 eller av opplysninger etter art. 10. Art. 34 nr. 1 LOPDGDD viser til denne bestemmelsen og tilføyer «og under enhver omstendighet når det dreier seg om følgende enheter». Konjunksjonen teller: det er ikke seksten tilfeller i stedet for de tre, men seksten i tillegg til de tre. En enhet som ikke står under noen bokstav, kan likevel være forpliktet etter art. 37 — og motsatt.
De seksten bokstavene
- a) Yrkesorganisasjoner og deres generalråd. b) Utdanningsinstitusjoner på alle nivåer og offentlige og private universiteter.
- c) Operatører av nett og tilbydere av elektroniske kommunikasjonstjenester, når de behandler opplysninger regelmessig og systematisk i stor skala. d) Tilbydere av informasjonssamfunnstjenester som utarbeider brukerprofiler i stor skala.
- e) Enheter etter art. 1 i lov 10/2014 (kredittinstitusjoner). f) Finansielle kredittforetak. g) Forsikrings- og gjenforsikringsforetak. h) Verdipapirforetak.
- i) Distributører og leverandører av elektrisk kraft og naturgass. j) Behandlingsansvarlige for felles registre om betalingsevne og kreditt, eller om svindelforebygging, herunder registre for hvitvaskingsbekjempelse.
- k) Virksomheter innen reklame og kommersiell prospektering når de behandler preferanser eller lager profiler. l) Helseinstitusjoner som er lovpålagt å føre pasientjournaler — med et uttrykkelig unntak for helsepersonell som driver individuelt.
- m) Enheter som utsteder kredittopplysninger om fysiske personer. n) Spilloperatører via elektroniske kanaler. ñ) Private vaktselskaper. o) Idrettsforbund når de behandler opplysninger om mindreårige.
Frivillig utpeking er ikke en vennlig gest
Nr. 2 fastsetter at den som ikke er forpliktet «kan utpeke frivillig» et ombud, «som vil være underlagt regimet i forordning (EU) 2016/679 og i denne organiske loven». Det vil si: uavhengighet, ingen interessekonflikt, ressurser, forbud mot å sanksjonere vedkommende for utførelsen av oppgavene, rapportering til øverste ledelse. Og nr. 3 krever at utpekingen meldes til AEPD innen ti dager «både der utpeking er påbudt og der den er frivillig». Å skrive «personvernombud» i noens e-postsignatur uten å melde det, er et brudd som fastslås på ett minutt.
Nr. 4 leses ved siden av: AEPD og myndighetene i de autonome regionene fører en oppdatert liste over ombud som er tilgjengelig elektronisk. Den praktiske følgen er at påstanden «vi har personvernombud» kan kontrolleres av hvem som helst — også av en kunde som gjør leverandørkontroll og av en konkurrent som forbereder en klage. Det er ikke et internt register: det er offentlig.
Til slutt tillater nr. 5 hel eller delvis stilling, blant annet etter omfanget av behandlingene, de særlige kategoriene som behandles og risikoene for de registrerte. Det er ingen blankofullmakt til minimum: det er et kriterium som skal begrunnes og som bør skrives ned, for det er nøyaktig det man blir spurt om når et ombud ikke rakk å håndtere noe i tide.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
