Er Personvernombudet Brikken Som Mangler I Organisasjonen Din?

Uavhengig av størrelsen på selskapet ditt eller bransjen den opererer innen, vil selskapet ditt håndtere personopplysninger på en eller annen måte. Det er derfor obligatorisk å ha noen som kan sikre at alt skjer i samsvar med personvernforordningen/GDPR, men hvem må ha et personvernombud? Det er tre tilfeller hvor man skal utpeke et personvernombud.

1. Offentlig myndighet – Personopplysninger blir håndtert av et offentlig organ

2. Masseovervåkning og regelmessig overvåkning – Behandling av personopplysninger er en kjerneaktivitet og utføres jevnlig

3. I stor skala av særlige kategorier – Behandling av spesifikke “spesielle” opplysninger, også kjent som sensitive opplysninger, som en kjerneaktivitet i stor skala.

Noen ganger kan det være at en organisasjon ikke faller under noen av disse kategoriene, men som fortsatt kan dra nytta av å ha et personvernombud. Senere vil jeg forklare hvordan de kan føre til overholdelse av GDPR. Mange selskaper i vekst oppsøker et personvernombud for å få hjelp med den økende mengden personopplysninger.

Det å ha et personvernombud er allikevel ikke nødvendigvis passende for alle. Dersom du jobber i en liten bedrift kan det være enklere og mer kostnadsbesparende å la ansvaret for compliance med GDPR fordeles på flere ansatte. Det kan også være at organisasjonen din kun håndterer minimale mengder personopplysninger, som vil være enkelt å behandle på en lovlig måte. Det er også mulig at du allerede har utviklet et funksjonelt og effektivt system som ikke har behov for omstrukturering. Alt avhenger av selskapet.

Personvernombudets funksjon er å sikre at selskapet opererer i samsvar med EUs reguleringer, som håndheves av din nasjonale databeskyttelsesmyndighet, datatilsynet i Norge. Overtredelse av personverforordningen/GDPR kan ha alvorlige konsekvenser og organisasjoner kan bøtelegges €20 millioner eller 4 % av sin globale omsetning. Siden personvernombudets sitt arbeid er konfidensielt, rapporterer personvernombudet vanligvis direkte til øverste ledelsesnivå uten innblanding fra organisasjonen.

Mer presist jobber personvernombudet med å:

1. Svare på spørsmål og håndtere bekymringer rundt GDPR

2. Informere organisasjonen og dens ansatte om deres GDPR-forpliktelser

3. Kontrollere overholdelsen av GDPR gjennom opplæring av ansatte og gjennomføring av revisjoner

4. Gi råd om vurdering av personvernkonsekvenser

5. Samarbeide og kommunisere med datatilsynet

Det første steget er å finne en kvalifisert kandidat. GDPR oppgir ikke noen spesifikke krav, men de foreslår at personvernombudet bør ha sterk faglig tyngde når en virksomhet behandler komplekse data. Her er noen forslag til hva du kan se etter i en kandidat:

• Relevant erfaring fra arbeid med EU og globale personvernlover (utarbeiding av forslag til retningslinjer for personvern, teknologiforsyning og personell som jobber med compliance)

• Har jobbet med IT-programmering eller infrastruktur (inkludert sertifisering i standarder for informasjonssikkerhet)

• Betydelig erfaring med gjennomføringer av revisjoner av informasjonssystemer, sertifiseringer og risikovurderinger

• Demonstrerer evnen til å koordinere med flere parter og overordnede over flere pågående prosjekter

• Kunne kommunisere med ansatte fra forskjellige avdelinger med varierende kunnskapsnivå (inkludert styret, ledere, IT-ansatte og advokater)

• Evnen til å tilegne seg nødvendig kunnskap i dynamiske miljø

• Juridisk erfaring, og faring innen teknisk opplæring og bevisstgjøring

• Erfaring med håndtering av ulike forretningskulturer og bransjer

Det kan være utfordrende å finne en ny ansatt til å fylle denne stillingen. Dessverre er etterspørselen etter egnede personvernombud veldig høy, noe som vil si at ansettelsesprosessen kan være tidkrevende og utfordrende.

Et godt sted å starte søket er din egen IT-avdeling eller juridiske avdeling, siden de allerede forstår hvilken type data som blir behandlet og hvordan den blir behandlet. Siden overholdelse av GDPR forandrer seg hele tiden må personvernombudet være god til å lære ny kunnskap om sikkerhetsnivå og nylige utviklinger i trå med forandringene. Dersom det er nødvendig bør den ansatte gjennomgå opplæring og sertifisering innenfor GDPR.

Her er en kort liste for hvorfor din organisasjon kan være tjent med å ha et personvernombud:

1. Personvernombudet veileder deg gjennom de komplekse GDPR-reguleringene og bistå i at datahåndtering foregår på en lovlig måte

2. De øker compliance ved å instruere styremedlemmer, ledere og ansatte i håndtering av personopplysninger

3. Ved eventuelle sikkerhetsbrudd vil personvernombudet bringe frem nødvendige protokoller om hvordan man skal respondere internt og offentlig, siden bruddet må rapporteres til myndighetene innen 72 timer.

4. De kan gi deg råd ved distribuering av tekniske ressurser for styrking av cybersikkerhet, som inkluderer databeskyttelse

Som du kan se, kan et personvernombud forenkle den daglige driften i organisasjonen din. De kan minske usikkerhet og hjelpe deg med utfordringene som oppstår når man behandler persondata. Personvernombudet kan hjelpe deg med å unngå store bøter og datasikkerhetsbrudd.

Men det å ha et personvernombud er ikke den eneste løsning når det gjelder datahåndtering, og er ikke nødvendigvis alltid en passende løsning. Som ved mange andre områder innen cybersikkerhet, spiller hvert enkelt medlem av organisasjonen din en viktig rolle innen beskyttelse og behandling av personopplysninger. Derfor kan ansatte ha nytte av bevisstgjøring og opplæring innenfor personvern. Alle ansatte bør lære om hva personopplysninger er, hva de 7 prinsippene for databeskyttelse er, hvordan håndtere personopplysninger og mye mer. Så ved øking av ansattes bevissthet vil du økte sikkerheten i din organisasjon.