Á þessari síðu
Persónuverndarfulltrúi (PVF)
Þarf ég að tilnefna PVF?
Hvað er PVF og hefur fyrirtæki þitt þörf fyrir hann?
Persónuverndarfulltrúi (einnig nefndur „PVF“) er sérfræðingur í persónuvernd sem veitir ráðgjöf um persónuverndarlöggjöfina innan fyrirtækis.
Persónuverndarfulltrúinn þarf að taka þátt, með viðeigandi hætti og tímanlega, í öllum málum er varða persónuvernd.
Samkvæmt persónuverndarreglugerðinni felast helstu skyldur PVF meðal annars í eftirfarandi:
- að upplýsa og veita fyrirtæki og starfsmönnum ráðgjöf varðandi persónuvernd og persónuverndarlöggjöfina,
- að fylgjast með því að farið sé að persónuverndarlöggjöfinni,
- að veita ráðgjöf varðandi beiðnir um mat á áhrifum á persónuvernd (MÁP),
- að vera tengiliður við persónuverndarstofnun og vera í samstarfi við stofnunina,
- að vera tengiliður einstaklinga gagnvart fyrirtækinu hvað réttindi einstaklinga varðar.
Almennt er mælt með því að persónuverndarfulltrúi sé hafður með í ráðum þegar ákvarðanir um persónuvernd eru teknar. Einnig ber að hafa tafarlaust samráð við persónuverndarfulltrúann þegar öryggisbrestur verður eða öryggisatvik hefur átt sér stað.
Þá fær ábyrgðaraðili eða vinnsluaðili persónuverndarfulltrúa oft það hlutverk að viðhalda skrá yfir vinnslustarfsemi.
Frekari upplýsingar
Þarf fyrirtækið mitt að tilnefna PVF?
Það er skylt að tilnefna persónuverndarfulltrúa í eftirfarandi þremur tilfellum:
- um er að ræða opinbert yfirvald sem annast vinnslu persónuupplýsinga,
- kjarnastarfsemi fyrirtækisins felur í sér reglubundið, kerfisbundið og umfangsmikið eftirlit með einstaklingum, t.d. vinnur staðsetningargögn með farsímaforriti, eða viðhefur eftirlit með verslunarmiðstöðvum og almannarýmum með eftirlitsmyndavélakerfi,
- kjarnastarfsemi fyrirtækisins felst í umfangsmikilli vinnslu viðkvæmra persónuupplýsinga.
Það er mikilvægt að skilgreina hugtökin „kjarnastarfsemi“, „reglubundið, kerfisbundið“og „umfangsmikið“ til að ákvarða hvort fyrirtæki þurfi að tilnefna persónuverndarfulltrúa.
„Kjarnastarfsemi“ merkir að vinnsla persónuupplýsinga er grundvallarþáttur til að ná markmiðum ábyrgðar- eða vinnsluaðila. Þetta á einnig við um allar aðgerðir þar sem vinnsla persónuupplýsinga er órjúfanlegur hluti af starfseminni.
Þegar vísað er til þess að vinnsla sé „umfangsmikil“ getur það átt við um mismunandi þætti, s.s. magn persónuupplýsinga sem unnið er með, fjölda einstaklinga — annað hvort sem tiltekinn fjöldi eða sem hlutfall af viðkomandi þýði, tímalengd vinnslu og landfræðilegt umfang vinnslunnar.
„Reglubundið og kerfisbundið eftirlit“ tekur til hvers konar rakningar og persónusniðs á Netinu, meðal annars í þeim tilgangi að birta atferlismiðaðar auglýsingar. Hugtakið er þó ekki bundið við stafrænt umhverfi.
Dæmi:
- Kjarnastarfsemi
Kjarnastarfsemi heilsugæslustöðvarinnar er til dæmis að veita einstaklingum heilbrigðisþjónustu. Í því tilviki ætti að líta á vinnslu heilsufarsupplýsinga, s.s. upplýsinga í sjúkraskrám sjúklinga, sem hluta af kjarnastarfsemi stofnunarinnar.
Öll fyrirtæki sinna þó ákveðnum stoðverkefnum, t.d. launagreiðslum til starfsmanna eða almennum upplýsingatæknistuðningi. Þetta eru nauðsynlegar stoðeiningar sem styðja við kjarna- eða meginstarfsemi fyrirtækisins. Þrátt fyrir að þessar aðgerðir séu nauðsynlegar, teljast þær yfirleitt ekki til kjarna¬starfsemi heldur aukastarfsemi.
- Umfangsmikil vinnsla
Dæmi um umfangsmikla vinnslu eru t.d.:
- vinnsla heilsufarsupplýsinga sjúklinga sem óaðskiljanlegur þáttur í daglegri starfsemi sjúkrahúss,
- vinnsla persónuupplýsinga viðskiptavina í tengslum við daglega starfsemi vátryggingafélags eða banka,
- vinnsla staðsetningargagna viðskiptavina alþjóðlegrar skyndibitakeðju í tölfræðilegum tilgangi, framkvæmd af undirverktaka sem sérhæfir sig í slíkri þjónustu,
- vinnsla persónuupplýsinga af hálfu leitarvélar í þeim tilgangi að nýta þær við birtingu atferlismiðaðra auglýsinga,
- vinnsla gagna (innihald, flæði og staðsetning) af hálfu síma- og netþjónustuaðila.
Dæmi um vinnslu sem myndi ekki teljast umfangsmikil:
- vinnsla eins heimilislæknis á persónuupplýsingum sjúklinga sinna,
- vinnsla eins lögfræðings/lögmanns á persónuupplýsingum einstaklinga varðandi sakfellingu og refsiverða háttsemi.
- Regluleg og kerfisbundin vöktun
Dæmi um reglubundna og kerfisbundna vöktun eru endurmarkaðssetning með tölvupósti, gagnadrifnar markaðsaðgerðir, gerð persónusniðs og stigagjöf til áhættumats (svo sem lánshæfismat, tryggingagjöld, svikavarnir og greining peningaþvættis), staðsetningarvöktun með snjalltækjum (t.d. farsímaforritum), tryggðarkerfi, atferlismiðuð auglýsing, vöktun heilsu- og líkamsræktargagna með snjallgræjum, eftirlitsmyndavélar (CCTV), tengd snjalltæki eins og snjallmælir, snjallbílar og heimilisstýring.
Því ber vinnsluaðila sem sinnir kjarnastarfsemi við vefgreiningu og aðstoð við gerð markauglýsinga og markaðssetningu að tilnefna persónuverndarfulltrúa.
Þú getur alltaf tilnefnt PVF að eigin frumkvæði, jafnvel þótt þess sé ekki krafist samkvæmt lögum. Þegar þannig háttar til verður þú engu að síður að fara að öllum ákvæðum persónuverndarreglugerðarinnar varðandi verkefni og stöðu persónuverndarfulltrúa. Þess vegna er ráðlagt að nota aðeins titil PVF fyrir einstakling sem hefur hlutverk og stöðu sem er í samræmi við lýsinguna í persónuverndarreglugerðinni.
Frekari upplýsingar
Hver getur verið PVF í fyrirtækinu mínu?
PVF verður að geta sinnt skyldum sínum og verkefnum á sjálfstæðan hátt. Þetta merkir að fyrirtæki þitt:
- má ekki gefa persónuverndarfulltrúa fyrirmæli um framkvæmd skyldustarfa hans, gagnaverndarfulltrúa,
- óheimilt er að refsa eða segja persónuverndarfulltrúa upp störfum fyrir að framkvæma skyldur sínar.
Sjálfstæði persónuverndarfulltrúa felur þó ekki í sér að þeir hafi ákvörðunarvald sem nær lengra en verkefni þeirra. Fyrirtækið ber áfram ábyrgð á því að farið sé að lögum um persónuvernd og verður að geta sýnt fram það.
Líta ætti á persónuverndarfulltrúann sem aðila innan fyrirtækisins sem unnt er að ráðfæra sig við og ætti hann að vera þátttakandi umræðna um vinnslu persónuupplýsinga og persónuvernd innan fyrirtækisins.
Persónuverndarfulltrúar skulu gefa skýrslu beint til æðsta stjórnunarstigs ábyrgðaraðila eða vinnsluaðila.
Persónuverndarfulltrúar geta sinnt öðrum verkefnum innan stofnunarinnar en það má ekki leiða til hagsmunaárekstra. Þetta felur í sér að persónuverndarfulltrúinn getur ekki farið með ákvörðunarvald um tilgang og aðferðir við vinnslu persónuupplýsinga. Ósamrýmanlega verkefni eru aðallega stjórnunarstöður (forstjóri, framkvæmdastjóri, fjármálastjóri, mannauðsstjóri, yfirmaður upplýsingatæknimála) en geta einnig falið í sér önnur störf ef þau leiða til ákvörðunar um tilgang og aðferðir við vinnslu persónuupplýsinga.
Það er mögulegt samkvæmt persónuverndarreglugerðinni að tilnefna utanaðkomandi PVF með gerð þjónustusamnings. Samninginn má gera við einstakling eða fyrirtæki. Þegar þjónustusamningur PVF er gerður við fyrirtæki er nauðsynlegt að enginn aðili fyrirtækisins eigi hagsmuna að gæta og að þeir séu varðir gegn óréttmætri uppsögn þjónustusamnings, en einnig gegn óréttmætri uppsögn einstakra aðila fyrirtækisins vegna starfa þeirra sem persónuverndarfulltrúar.
Fyrirtæki þínu ber að aðstoða persónuverndarfulltrúann með því að veita honum aðgang að allri vinnslustarfsemi fyrirtækisins og að öllum þeim persónuupplýsingum sem unnið er með. Mikilvægt er að persónuverndarfulltrúinn sé þátttakandi, eins snemma í ferlinu og kostur er, í öllum málum er varða persónuvernd. Fyrirtækinu ber að tryggja persónuverndarfulltrúanum nauðsynleg úrræði til að geta sinnt skyldustörfum sínum (tíma, þjálfun, búnað og fjármagn).
Dæmi:
Við framkvæmd verkefna persónuverndarfulltrúa má ekki veita honum fyrirmæli um það hvernig hann á að takast á við mál. Ekki ætti t.d. að gefa persónuverndarfulltrúa fyrirmæli um það hver niðurstaða ráðgjafar hans ætti að vera eða hvernig rannsókn kvörtunar einstaklings skuli háttað eða hvort samráð við Persónuvernd sé ráðleg eða skylda. Enn fremur skal ekki veita persónuverndarfulltrúi fyrirmæli um að líta til sérstakra sjónarmiða varðandi málefni sem tengist persónuverndarlöggjöfinni, t.d. varðandi sérstaka túlkun laganna.
Frekari upplýsingar:
Gátlisti við tilnefningu persónuverndarfulltrúa
- Athugaðu hvort PVF sé krafist eða ekki: Athugaðu hvort þú þurfir að tilnefna persónuverndarfulltrúa og, ef þú ert í vafa, skráðu þá rökin fyrir því að þú tilnefnir eða tilnefnir ekki persónuverndarfulltrúa.
- Ef persónuverndarfulltrúi er nauðsynlegur:
- Ákveddu hvort þú tilnefnir persónuverndarfulltrúa innan fyrirtækisins eða utan: Ef nauðsynlegt er að tilnefna persónuverndarfulltrúa þarf að ákveða hvort að tilnefndur verði starfsmaður í fyrirtækinu eða utanaðkomandi aðili fenginn til starfans á grundvelli þjónustusamnings,
- Gakktu úr skugga um að persónuverndarfulltrúinn hafi faglega sérþekkingu á persónuverndarlöggjöfinni og getu til að leysa verkefnin af hendi,
- Tryggðu að persónuverndarfulltrúinn sé sjálfstæður og óháður: Athugaðu hvort persónuverndarfulltrúi þinn hafi aðrar skyldur sem gætu stofnað sjálfstæði hans í hættu við framkvæmd verkefna hans (hagsmunaárekstrar),
- Þróaðu staðlaðar verklagsreglur fyrir aðkomu PVF til að tryggja þátttöku hans.
- Ef ekki er krafist persónuverndarfulltrúa:
- Hugleiddu málið vel. Jafnvel þótt þú tilnefnir ekki persónuverndarfulltrúa í skilningi persónuverndarreglugerðarinnar, þarft þú samt að uppfylla ýmis persónuverndarskilyrði. Við ráðleggjum þér því að ráða persónuverndarfulltrúa sem sjálfboða, eða einstakling sem, þrátt fyrir að bera ekki formlegan titil persónuverndarfulltrúa og framkvæmir ekki öll verkefni hans, fylgist með að reglum sé fylgt og starfi sem tengiliður fyrir einstaklinga sem vilja nýta sér réttindi sín.