Om dataskydds­ombud i dataskydds­förordningen

Innehåll på sidan:

Artikel 37: Utnämning av dataskyddsombudet

Artikel 38: Dataskyddsombudets ställning

Artikel 39: Dataskyddsombudets uppgifter

Artikel 37: Utnämning av dataskyddsombudet

IMY:s kommentar

Myndigheter och offentliga organ måste alltså ha ett dataskyddsombud oavsett vilka uppgifter de behandlar. Det gäller inte för andra organisationer. De måste ha ett dataskyddsombud bara om de faller inom kategorierna b och c nedan.

Men även privata organisationer kan bedriva offentlig verksamhet och myndighetsutövning, till exempel inom kollektivtrafik, vatten- och energiförsörjning, väginfrastruktur, radio och tv i allmänhetens tjänst, allmännyttiga bostäder eller disciplinorgan för reglerade yrken. För de registrerade är det ungefär samma sak om deras personuppgifter behandlas av en myndighet eller ett offentligt organ. Ett dataskyddsombud kan då ge de registrerade skydd och trygghet.

IMY rekommenderar därför att privata organisationer som bedriver offentlig verksamhet och myndighetsutövning utnämner ett dataskyddsombud.

IMY:s kommentar

Kärnverksamhet är den nödvändiga centrala verksamhet som en organisation utför för att uppfylla sitt uppdrag och sina mål.

 

Men alla organisationer behandlar personuppgifter i stödjande verksamheter, till exempel för att betala ut lön, eller i samband med it-stöd. Det är exempel på nödvändiga stödfunktioner för organisationens kärnverksamhet eller huvudsakliga verksamhet. Även om sådana verksamheter är nödvändiga eller centrala, så är de inte kärnverksamhet utan kompletterande funktioner. Icke-offentliga organ som bara behandlar personuppgifter på det sättet behöver alltså inte något dataskyddsombud.

Regelbunden betyder

• pågående övervakning eller övervakning som sker i vissa intervall eller under en viss period
• återkommande eller upprepad övervakning vid fasta tidpunkter
• ständig eller periodisk övervakning.

Systematisk är övervakning som

• sker enligt ett system
• är på förhand arrangerad, organiserad eller metodisk övervakning
• sker enligt en allmän plan för insamling av personuppgifter
• utförs som ett led i en strategi.

Regelbunden och systematisk övervakning av de registrerade omfattar alltså till exempel

• alla former av spårning och profilering på internet
• drift av ett telekommunikationsnät
• tillhandahållande av telekommunikationstjänster
• datadriven marknadsföring
• profilering eller poängsättning för riskbedömningar till exempel för bedömning av kreditvärdighet, fastställande av försäkringspremier
• förebyggande av bedrägeri, upptäckt av penningtvätt
• positionsspårning, till exempel genom mobilappar
• lojalitetsprogram
• beteendestyrd annonsering
  övervakning av välbefinnande, träning och hälsa via exempelvis aktivitetsarmband
• övervakningskameror
• uppkopplade apparater, till exempel smarta mätare, smarta bilar eller anordningar för hemautomatisering (sakernas internet).

Vad som är stor omfattning är inte lätt att avgöra. IMY rekommenderar att organisationer gör en grundlig bedömning av sin verksamhet och då funderar över

• hur många som är registrerade, antingen som ett exakt antal eller som en andel av den berörda befolkningsgruppen
• hur mycket och vilka typer av personuppgifter som behandlas
• hur länge personuppgifterna behandlas
• inom hur stort geografiskt område de registrerade finns.

Behandling i stor omfattning kan till exempel vara

• behandling av patientuppgifter inom ramen för ett sjukhus normala verksamhet
• behandling av reseuppgifter avseende personer som använder kollektivtrafiksystem i en stad (till exempel spårning via resekort)
• behandling av geolokaliseringsuppgifter för statistiska ändamål
• behandling av kunduppgifter inom ramen för ett försäkringsbolags eller en banks normala verksamhet
• behandling av personuppgifter som ska användas för beteendestyrd annonsering av en sökmotor
• behandling av uppgifter (innehåll, trafik, position) av telefon- eller internettjänstleverantörer.

Behandling som inte sker i stor omfattning kan till exempel vara fall där

• en enskild läkare behandlar patientuppgifter
• en enskild advokat behandlar personuppgifter som rör fällande domar i brottmål samt överträdelser.

IMY:s kommentar

Artikel 37 c handlar om behandling av känsliga personuppgifter och uppgifter om fällande domar. Ordet "och" används i bestämmelsen, men de två kriterierna måste inte tillämpas samtidigt. Texten ska tolkas som att ett dataskyddsombud krävs om organisationen antingen behandlar känsliga personuppgifter eller personuppgifter som rör fällande domar.

IMY:s kommentar

Olika organisationer kan alltså få dela på ett dataskyddsombud. En koncern kan ha ett dataskyddsombud för flera företag och flera myndigheter, till exempel kommuner, kan ha ett gemensamt dataskyddsombud. Tänk dock på att ett enda dataskyddsombud inte kan ha hur stor arbetsbörda som helst. Dataskyddsombudet kan inte ha hand om alltför många eller för stora organisationer, och hur mycket personuppgifter som organisationerna behandlar spelar också in.

Det är också viktigt att dataskyddsombudet är lättillgängligt. Det innebär till exempel att de registrerade, de som arbetar internt inom organisationen och IMY lätt ska kunna hitta kontaktuppgifter till dataskyddsombudet. Det ska också vara lätt att komma i kontakt med dataskyddsombudet, som måste kunna kommunicera effektivt med de registrerade och med IMY.

IMY:s kommentar

Även om det inte är obligatoriskt att utnämna ett dataskyddsombud kan det ibland vara bra för organisationerna att ändå göra det frivilligt. Ett dataskyddsombud hjälper organisationen i arbetet med dataskydd och fungerar som kontaktpunkt för IMY och de registrerade.

Om en organisation frivilligt utser ett dataskyddsombud gäller samma krav för dataskyddsombudets status, ställning och uppgifter som om utnämningen hade varit obligatorisk.

IMY:s kommentar

Dataskyddsombudet ska ha tillräcklig kunskap om dataskyddslagstiftningen och om organisationens verksamhet för att kunna följa personuppgiftsbehandlingen och för att kunna säkerställa att personuppgifterna behandlas korrekt. Ju mer komplex personuppgiftsbehandlingen är, och ju större mängd känsliga uppgifter som behandlas, desto mer sakkunskap, stöd och resurser behöver dataskyddsombudet.

Det är viktigt att ett dataskyddsombud har

• djupgående kunskap om dataskyddsförordningen
• kunskap om dataskyddslagstiftning och hur den tillämpas nationellt och i EU
• kunskap om organisationens it-system, datasäkerhet och dataskyddsbehov
• kunskap om affärssektorn eller myndighetsregleringen och organisationen i fråga
• förståelse av hur personuppgifter behandlas i organisationen
• förmåga att främja en dataskyddskultur inom organisationen.

IMY:s kommentar

Dataskyddsombudet kan antingen vara en anställd i organisationen eller en konsult som utför uppgifterna som extern tjänsteleverantör.

En grupp av enskilda personer kan också utföra dataskyddsombudets uppgifter, under ansvar av en utsedd huvudkontakt och ansvarig person. I sådana fall är det viktigt att alla personerna i gruppen uppfyller alla krav i dataskyddsförordningen. IMY rekommenderar att det finns en tydlig, skriftlig uppgiftsfördelning, och att en enda person utses till huvudkontakt och ansvarig person.

För att vara lätt att nå bör dataskyddsombudet vara etablerat i EU, även om organisationen är etablerad utanför EU.

IMY:s kommentar

De organisationer som ska ha ett dataskyddsombud måste meddela dataskyddsombudets namn och kontaktuppgifter till IMY. Dataskyddsombudets kontaktuppgifter måste också offentliggöras så att de registrerade vet vart de kan vända sig.

Det är inget krav att offentliggöra dataskyddsombudets namn för allmänheten, även om det ibland kan vara bra. Däremot ska IMY få uppgift om dataskyddsombudets namn. IMY rekommenderar att organisationen även informerar sina anställda om dataskyddsombudets namn och kontaktuppgifter.

Artikel 38: Dataskyddsombudets ställning

IMY:s kommentar

Dataskyddsombudet måste ha de resurser som krävs för att kunna fullgöra sina uppgifter, till exempel

• aktivt stöd från högsta ledningen för dataskyddsombudets arbete
• aktivt stöd och information från andra avdelningar inom organisationen
• tillräckligt med tid för att kunna fullgöra sina uppgifter
• ekonomiska resurser
• fortbildning
• infrastruktur (lokaler, hjälpmedel, utrustning)
• personal i förekommande fall.

All personal i organisationen ska informeras om att det finns ett dataskyddsombud och om vilka uppgifter dataskyddsombudet har.

IMY:s kommentar

Dataskyddsombudet ska rapportera om sitt uppdrag till högsta förvaltningsnivå. Organisationen bör bland annat

• bjuda in dataskyddsombudet att regelbundet delta i möten på högsta och mellanliggande förvaltningsnivå
• låta dataskyddsombudet delta i beslut som har följder för dataskyddet
• förmedla all relevant information till dataskyddsombudet så att ombudet i god tid kan ge lämpliga råd
• dokumentera sina skäl i de fall dataskyddsombudets råd inte följs
• rådfråga dataskyddsombudet omedelbart när en incident har inträffat
• tydligt ange dataskyddsombudets exakta uppgifter och deras omfattning, särskilt när det gäller konsekvensbedömningar.

För att dataskyddsombudet ska kunna vara oberoende och självständigt är det inte tillåtet för den personuppgiftsansvarige eller personuppgiftsbiträdet att

• ge instruktioner om hur dataskyddsombudet ska utföra sina uppgifter, till exempel hur en viss bestämmelse ska tolkas
• straffa eller hota att straffa dataskyddsombudet för att ha utfört sina uppgifter.

IMY:s kommentar

Det är viktigt att dataskyddsombudet är lättillgängligt. Det innebär till exempel att de registrerade, de som arbetar internt inom organisationen och IMY lätt ska kunna hitta kontaktuppgifter till dataskyddsombudet. Det ska också vara lätt att komma i kontakt med dataskyddsombudet, som måste kunna kommunicera effektivt med de registrerade och med IMY.

IMY:s kommentar

För dataskyddsombud i det allmännas verksamhet gäller offentlighets- och sekretesslagens bestämmelser om sekretess. Det finns också ett lagförslag om att tystnadsplikt ska gälla för dataskyddsombud i privat sektor, om de får information om enskildas personliga eller ekonomiska förhållanden (se SOU 2017:39). Sekretessen/tystnadsplikten innebär dock inte att det är förbjudet för dataskyddsombudet att kontakta och samråda med IMY.

IMY:s kommentar

Dataskyddsombudet får inte ha andra uppgifter som kan leda till intressekonflikter. Till exempel kan dataskyddsombudet inte vara med och fastställa ändamålen med och medlen för behandlingen av personuppgifter.

En tumregel kan vara att dataskyddsombudet inte ska tillhöra högsta ledningen (till exempel verkställande direktör, högste verkställande beslutsfattare, finansdirektör, chefsläkare, marknadsföringschef, personalchef eller it-chef). Även andra funktioner lägre ned i organisationsstrukturen kan vara olämpliga om de innebär att besluta om behandling av personuppgifter.

En intressekonflikt kan även uppstå om ett externt dataskyddsombud företräder den personuppgiftsansvarige eller personuppgiftsbiträdet vid domstol i dataskyddsärenden.

Artikel 39: Dataskyddsombudets uppgifter

IMY:s kommentar

Dataskyddsombudet ska alltså övervaka efterlevnaden av dataskyddsförordningen. Det kan till exempel innebära att dataskyddsombudet

• samlar in information om hur personuppgifter behandlas i organisationen
• analyserar och kontrollerar om personalen följer bestämmelser om personuppgiftsbehandling
• utfärdar rekommendationer till den personuppgiftsansvarige eller personuppgiftsbiträdet.

IMY:s kommentar

Det är den personuppgiftsansvarige, inte dataskyddsombudet, som ska se till att organisationen gör konsekvensbedömningar när det behövs. Men den personuppgiftsansvarige eller personuppgiftsbiträdet ska rådfråga dataskyddsombudet, till exempel för att bedöma

• om det behövs en konsekvensbedömning i ett visst fall
• vilken metod som ska användas för konsekvensbedömningen
• om det är bra att konsekvensbedömningen görs internt eller om en extern part ska göra den
• vilka skyddsåtgärder som behövs för att begränsa eventuella risker för de registrerades rättigheter och intressen
• om en konsekvensbedömning har utförts korrekt och om slutsatserna är korrekta.

IMY:s kommentar

Dataskyddsombudet ska fungera som kontakt när IMY behöver dokument och information, till exempel för att kunna utreda, ge råd, korrigera eller ge tillstånd till en organisation.

Dataskyddsombudet ska vara bundet av sekretess eller konfidentialitet i enlighet med unionsrätten eller medlemsstaternas nationella rätt, men sekretess- eller konfidentialitetskravet innebär inte att det är förbjudet för dataskyddsombuden att kontakta och samråda med IMY.

IMY:s kommentar

Dataskyddsombuden ska prioritera och bör inrikta sitt arbete på problem som kan innebära en större risk för dataskyddet. De ska förstås inte försumma uppgiftsbehandlingar som innebär en jämförelsevis lägre risk. Syftet med detta pragmatiska tillvägagångssätt är att hjälpa dataskyddsombuden att ge goda råd till personuppgiftsansvariga om

• vilka metoder de bör använda för konsekvensbedömningar
• vilka områden som bör genomgå en intern eller extern revision av dataskyddet
• vilka interna fortbildningsverksamheter som bör tillhandahållas till anställda eller ledningspersonal som ansvarar för uppgiftsbehandling
• vilken typ av behandling som de bör ägna mer av sin tid och sina resurser åt.