Persónuverndarfulltrúi
Hvað er persónuverndarfulltrúi og þarf að tilnefna slíkan fulltrúa?
Hvað er persónuverndarfulltrúi og hvað gerir hann?
Persónuverndarfulltrúi er sérfræðingur í persónuvernd sem veitir ráðgjöf um persónuverndarlöggjöfina innan fyrirtækis eða stofnunar.
Tryggja þarf að persónuverndarfulltrúinn komi með viðeigandi hætti og tímanlega að öllum málum er varða persónuvernd.
Samkvæmt persónuverndarlöggjöfinni eru verkefni persónuverndarfulltrúa að lágmarki eftirfarandi:
- að upplýsa og ráðleggja fyrirtækinu/stofnuninni og starfsmönnum um hvernig uppfylla megi kröfur persónuverndarlöggjafarinnar,
- að fylgjast með því að farið sé að persónuverndarlöggjöfinni,
- að veita ráðgjöf í tengslum við mat á áhrifum á persónuvernd (MÁP),
- að vera tengiliður við persónuverndarstofnunina og vera í samstarfi við hana,
- að vera tengiliður við einstaklinga.
Almennt er mælt með því að persónuverndarfulltrúi sé hafður með í ráðum þegar teknar eru ákvarðanir sem geta haft áhrif á persónuvernd. Einnig ber að hafa tafarlaust samráð við persónuverndarfulltrúann þegar öryggisbrestur verður við meðferð persónuupplýsinga eða annað öryggisatvik hefur átt sér stað.
Í framkvæmd fær persónuverndarfulltrúi oft það hlutverk hjá ábyrgðaraðila eða vinnsluaðila að viðhalda skrá yfir vinnslustarfsemi.
Frekari upplýsingar
Þarf fyrirtækið mitt að tilnefna persónuverndarfulltrúa?
Það er skylt að tilnefna persónuverndarfulltrúa í eftirfarandi þremur tilfellum:
- um er að ræða opinbert stjórnvald sem annast vinnslu persónuupplýsinga,
- kjarnastarfsemi fyrirtækisins felur í sér reglulegt, kerfisbundið og umfangsmikið eftirlit með einstaklingum, t.d. vinnslu staðsetningargagna í gegnum smáforrit í síma, eða vöktun verslunarmiðstöðva og almannarýmis með eftirlitsmyndavélakerfi,
- kjarnastarfsemi fyrirtækisins felur í sér umfangsmikla vinnslu viðkvæmra persónuupplýsinga.
Hugtökin „kjarnastarfsemi“ og „reglulegt, kerfisbundið og umfangsmikið eftirlit“ eru mikilvæg við mat á því hvort fyrirtæki þurfi að tilnefna persónuverndarfulltrúa.
Með „kjarnastarfsemi“ er átt við að vinnsla persónuupplýsinga sé lykilþáttur í því að ná markmiðum ábyrgðaraðila eða vinnsluaðila. Til kjarnastarfsemi telst einnig öll starfsemi þar sem vinnsla persónuupplýsinga er órjúfanlegur hluti af starfsemi ábyrgðaraðila eða vinnsluaðila.
Það hvort vinnsla teljist „umfangsmikil“ getur ráðist af ýmsum þáttum, svo sem magni persónuupplýsinga sem unnið er með, fjölda þeirra einstaklinga sem vinnslan varðar — annaðhvort tölulegum fjölda eða hlutfalli af viðkomandi þýði, tímalengd vinnslunnar og landfræðilegu umfangi hennar.
„Reglulegt og kerfisbundið eftirlit“ tekur til hvers konar rakningar og gerðar persónusniðs á Netinu, meðal annars í þeim tilgangi að birta atferlismiðaðar auglýsingar. Hugtakið er þó ekki bundið við stafrænt umhverfi.
Dæmi:
- Kjarnastarfsemi
Megintilgangur heilsugæslustöðvar er til dæmis að veita einstaklingum heilbrigðisþjónustu. Í því tilviki ætti að líta á vinnslu heilsufarsupplýsinga, svo sem upplýsinga í sjúkraskrám sjúklinga, sem hluta af kjarnastarfsemi stofnunarinnar.
Öll fyrirtæki sinna þó ákveðnum stoðverkefnum, t.d. launagreiðslum til starfsmanna eða almennri upplýsingatækniþjónustu. Þetta eru dæmi um nauðsynleg stoðverkefni sem styðja við kjarnastarfsemi eða meginstarfsemi fyrirtækisins. Þrátt fyrir að þessar aðgerðir séu nauðsynlegar teljast þær yfirleitt ekki til kjarnastarfsemi heldur stoðverkefna.
- Umfangsmikil vinnsla
Dæmi um umfangsmikla vinnslu eru meðal annars:
- vinnsla heilsufarsupplýsinga sjúklinga sem óaðskiljanlegur þáttur í daglegri starfsemi sjúkrahúss,
- vinnsla persónuupplýsinga viðskiptavina í tengslum við daglega starfsemi vátryggingafélags eða banka,
- vinnsla staðsetningargagna viðskiptavina alþjóðlegrar skyndibitakeðju í tölfræðilegum tilgangi, sem framkvæmd er af undirverktaka sem sérhæfir sig í slíkri þjónustu,
- vinnsla persónuupplýsinga af hálfu leitarvélar í þeim tilgangi að nýta þær við birtingu atferlismiðaðra auglýsinga,
- Vinnsla fjarskiptafyrirtækja og netþjónustuaðila á upplýsingum um efni samskipta, fjarskiptaumferð og staðsetningu.
Dæmi um vinnslu sem myndi ekki teljast umfangsmikil:
- vinnsla eins heimilislæknis á persónuupplýsingum sjúklinga sinna,
- vinnsla eins lögfræðings/lögmanns á persónuupplýsingum einstaklinga varðandi sakfellingu og refsiverða háttsemi.
- Regluleg og kerfisbundin vöktun
Dæmi um reglulegt og kerfisbundið eftirlit eru endurmarkaðssetning með tölvupósti, gagnadrifin markaðssetning, gerð persónusniðs og stigagjöf í þeim tilgangi að meta áhættu (svo sem við lánshæfismat, ákvörðun iðgjalda, varnir gegn svikum og aðgerðir til að koma upp um peningaþvætti), staðsetningarvöktun með snjalltækjum (t.d. smáforritum í síma), vildarkerfi, atferlismiðaðar auglýsingar, vöktun upplýsinga um heilsu, líkamsrækt og líðan með úrum eða öðrum snjalltækjum, vöktun með eftirlitsmyndavélum, tengd tæki (eins og snjallmælar), snjallbílar, sjálfvirk heimilisstýring og svo framvegis.
Vinnsluaðili sem hefur það að kjarnastarfsemi að veita þjónustu við vefgreiningu og aðstoð við einstaklingsmiðaðar auglýsingar og markaðssetningu þarf því að tilnefna persónuverndarfulltrúa.
Þú getur alltaf tilnefnt persónuverndarfulltrúa að eigin frumkvæði, jafnvel þótt þess sé ekki krafist samkvæmt lögum. Þegar þannig háttar til verður þú engu að síður að fara að öllum ákvæðum persónuverndarreglugerðarinnar varðandi verkefni og stöðu persónuverndarfulltrúa. Þess vegna er ráðlagt að nota starfsheitið persónuverndarfulltrúi eingöngu um einstakling sem hefur hlutverk og stöðu sem samræmist ákvæðum persónuverndarreglugerðarinnar.
Frekari upplýsingar
Hver getur verið persónuverndarfulltrúi í fyrirtækinu mínu?
Persónuverndarfulltrúinn verður að geta sinnt skyldum sínum og verkefnum á sjálfstæðan hátt. Þetta merkir að fyrirtækið þitt:
- má ekki gefa persónuverndarfulltrúanum fyrirmæli um hvernig hann sinnir skyldustörfum sínum sem persónuverndarfulltrúi;
- má ekki refsa persónuverndarfulltrúanum eða víkja honum úr starfi fyrir að sinna skyldum sínum.
Sjálfstæði persónuverndarfulltrúa felur þó ekki í sér að þeir hafi ákvörðunarvald umfram það sem leiðir af verkefnum þeirra. Fyrirtækið ber áfram ábyrgð á því að farið sé að persónuverndarlöggjöfinni og verður að geta sýnt fram það.
Líta ætti á persónuverndarfulltrúann sem aðila innan vinnustaðarins sem unnt er að ráðfæra sig við og ætti hann að vera þátttakandi í umræðum um vinnslu persónuupplýsinga og persónuvernd innan fyrirtækisins.
Persónuverndarfulltrúar skulu heyra beint undir æðstu stjórnendur ábyrgðaraðila eða vinnsluaðila.
Persónuverndarfulltrúar geta sinnt öðrum verkefnum á vinnustaðnum en það má ekki leiða til hagsmunaárekstra. Þetta felur í sér að persónuverndarfulltrúinn getur ekki farið með ákvörðunarvald um tilgang og aðferðir við vinnslu persónuupplýsinga. Ósamrýmanleg störf eru aðallega stjórnunarstöður (forstjóri, framkvæmdastjóri, fjármálastjóri, mannauðsstjóri, yfirmaður upplýsingatæknimála, rekstrarstjóri) en hagsmunaárekstrar geta einnig komið upp í tengslum við önnur störf ef þau fela í sér ákvarðanir um tilgang og aðferðir við vinnslu persónuupplýsinga.
Samkvæmt persónuverndarreglugerðinni er hægt að tilnefna utanaðkomandi persónuverndarfulltrúa á grundvelli þjónustusamnings. Samninginn má gera við einstakling eða fyrirtæki. Ef samið er við fyrirtæki er nauðsynlegt að tryggja að engir hagsmunaárekstrar séu til staðar hjá neinum þeirra einstaklinga sem sinna verkefnum persónuverndarfulltrúa. Jafnframt þarf að tryggja að þeir njóti verndar gegn óréttmætri uppsögn þjónustusamningsins, sem og að einstökum starfsmönnum verði ekki sagt upp störfum með óréttmætum hætti vegna starfa þeirra sem persónuverndarfulltrúar.
Fyrirtækinu þínu ber að styðja persónuverndarfulltrúann með því að veita honum aðgang að allri vinnslustarfsemi fyrirtækisins og að öllum þeim persónuupplýsingum sem unnið er með. Mikilvægt er að persónuverndarfulltrúinn komi, eins snemma í ferlinu og kostur er, að öllum málum sem varða persónuvernd. Jafnframt ber að tryggja að persónuverndarfulltrúinn hafi nauðsynleg úrræði til að sinna skyldustörfum sínum (tíma, þjálfun, búnað og fjármagn).
Dæmi:
Ekki má gefa persónuverndarfulltrúa fyrirmæli um það hvernig hann á að takast á við verkefni sín. Til dæmis má ekki gefa persónuverndarfulltrúa fyrirmæli um það hver niðurstaða ráðgjafar hans ætti að vera, hvernig hann eigi að rannsaka kvörtun einstaklings eða hvort rétt eða skylt sé að leita samráðs við persónuverndarstofnunina. Þá má heldur ekki gefa persónuverndarfulltrúa fyrirmæli um að taka tiltekna afstöðu til álitaefna sem varða persónuverndarlöggjöfina, svo sem í tengslum við túlkun lagaákvæða.
Frekari upplýsingar:
Gátlisti við tilnefningu persónuverndarfulltrúa
- Kannaðu hvort skylt sé að tilnefna persónuverndarfulltrúa: Athugaðu hvort þú þarft að tilnefna persónuverndarfulltrúa. Ef þú ert í vafa, skjalfestu þá ástæður þess að þú ákvaðst að tilnefna persónuverndarfulltrúa eða láta það ógert.
- Ef skylt er að tilnefna persónuverndarfulltrúa:
- Ákveddu hvort þú tilnefnir persónuverndarfulltrúa innan vinnustaðarins eða utanaðkomandi persónuverndarfulltrúa: Ef nauðsynlegt er að tilnefna persónuverndarfulltrúa þarf að ákveða hvort starfsmaður verði tilnefndur eða utanaðkomandi aðili fenginn til starfans á grundvelli þjónustusamnings
- Gakktu úr skugga um að persónuverndarfulltrúinn uppfylli hæfniskröfur, hafi sérþekkingu á persónuverndarlöggjöfinni og getu til að leysa verkefnin af hendi,
- Tryggðu að persónuverndarfulltrúinn sé sjálfstæður og óháður: Athugaðu hvort persónuverndarfulltrúinn þinn hefur aðrar skyldur sem gætu skert sjálfstæði hans við framkvæmd verkefna sinna (hagsmunaárekstrar),
- Mótaðu fast verklag um aðkomu persónuverndarfulltrúa að málum sem varða persónuvernd.
- Ef ekki er skylt að tilnefna persónuverndarfulltrúa:
- Hugleiddu málið vel. Jafnvel þótt þú tilnefnir ekki persónuverndarfulltrúa í skilningi persónuverndarlöggjafarinnar þarf samt að uppfylla ýmsar kröfur persónuverndarlöggjafarinnar. Við mælum með því að persónuverndarfulltrúi sé tilnefndur þótt þess sé ekki krafist samkvæmt lögum, eða að tilteknum einstaklingi (sem ekki hefur starfsheitið persónuverndarfulltrúi) sé falið að fylgjast með því að persónuverndarlöggjöfinni sé fylgt í starfseminni og vera tengiliður við einstaklinga sem vilja nýta sér réttindi sín samkvæmt löggjöfinni.