Du er sikkert ved at være vant til, at vi uddyber vigtige forkortelser fra branchen nu. Bare rolig, vi har mere i vente til dig i dag. Vi vil fortælle dig om DPO’en og PO’en – og deres forskelle – inden for organisationer. Så lad os dykke ned i (D)PO.
Siden GDPR trådte i kraft i 2018, har organisationer været nødt til at implementere en masse foranstaltninger og ændringer i den tekniske, operationelle og ledelsesmæssige afdeling. Offentlige organisationer og store virksomheder skulle udpege en databeskyttelsesrådgiver (DPO). Andre virksomheder, som – fordi de ikke var offentlige organisationer og/eller kravet ikke var relevant for deres omfang og størrelse – støttede deres databeskyttelsesindsats ved hjælp af en databeskyttelsesrådgiver (PO). Selv om DPO’en og PO’en har overlappende ansvarsområder, er det forskellige roller med forskelligt fokus. Det vil vi forklare.
GDPR-anmodningen
Som vi nævnte ovenfor, er det obligatorisk at udpege en DPO for følgende organisationer:
- Organisationer, der er en offentlig myndighed eller et offentligt organ;
- Organisationer med kerneaktiviteter, der involverer behandling i stor skala af særlige kategorier af personoplysninger og data vedrørende straffedomme;
- Organisationer med kerneaktiviteter, der involverer regelmæssig og systematisk overvågning af registrerede i stor skala.
For den databeskyttelsesansvarlige i disse tre typer organisationer ser GDPR-anmodningen således ud:
- At informere og rådgive den dataansvarlige eller databehandleren og de ansatte. De er ansvarlige for at udføre behandling af deres forpligtelser i henhold til forordningen og til andre EU- eller medlemsstatsbestemmelser om databeskyttelse;
- At overvåge overholdelsen af GDPR og andre databeskyttelseslove og organisationens databeskyttelsespolitikker. Dette omfatter tildeling af ansvar, bevidstgørelse og uddannelse af det personale, der er involveret i behandlingsaktiviteter og de relaterede revisioner;
- At rådgive om konsekvensanalysen af databeskyttelse og overvåge dens resultater, hvis der anmodes om det.
- At samarbejde med tilsynsmyndigheden og fungere som kontaktpunkt for dem i spørgsmål vedrørende behandling.
Udnævnelsen af en PO er aldrig et lovkrav. Første forskel: tjek.
Internt eller eksternt?
GDPR giver organisationer mulighed for at vælge, om de vil udpege en intern eller ekstern databeskyttelsesrådgiver. Den databeskyttelsesansvarlige kan udnævnes internt, til en fastansat medarbejder, eller eksternt i henhold til en servicekontrakt.
Nøgleansvarsområder for PO’s DPO
DPO’en er ansvarlig for at føre tilsyn med en organisations databeskyttelsesstrategi og -implementering. PO’en opbygger et strategisk og omfattende privatlivsprogram. DPO’en er den vigtigste forbindelse til lovgivere og tilsynsmyndigheder, mens PO’en etablerer styring af privatlivsprogrammet sammen med organisationens ledelse.
Andre ansvarsområder for en DPO er at uddanne medarbejdere i kravene til overholdelse af GDPR, gennemføre regelmæssige vurderinger for at sikre overholdelse af GDPR og fungere som promotor for forbrugernes, kundernes, medarbejdernes og andre datasubjekters interesser. PO’en har travlt med at udføre compliance-overvågningsaktiviteter som en del af compliance-teamet og med at designe og levere indledende og løbende privatlivstræning til hele organisationen
Afslutningsvis anbefales det kraftigt, at alle organisationer udpeger en kontaktperson for privatlivets fred for at garantere, at beskyttelsen af personoplysninger og privatlivets fred for alle interessenter er godt sikret. Dette kan være en DPO, men også en PO, en kombination af de to eller en anden betegnelse.
Tag vare på jeres sikkerhed og privatliv, folkens.
Du kan takke os senere.
