Mange virksomheter har hørt om det – men er usikre på hva rollen faktisk innebærer: Personvernombud, eller DPO. Noen tror det bare gjelder offentlige organer. Andre er usikre på om det er lovpålagt eller bare “lurt å ha”. Og mange lurer: Hva gjør egentlig en DPO i praksis?
I denne artikkelen går vi gjennom det du som virksomhet trenger å vite – enten du vurderer å etablere rollen internt, eller trenger ekstern bistand fra en erfaren personvernadvokat. Vi viser når det er påkrevd, hva ansvaret innebærer, og hvordan en DPO faktisk jobber – i virkeligheten.
Hva er et personvernombud (DPO)?
Et personvernombud – eller Data Protection Officer (DPO), som det heter i GDPR – er en uavhengig funksjon i virksomheten som skal passe på at reglene om personvern følges. En slags intern revisor, men for personopplysninger.
Det betyr ikke at DPO-en skal ha alt ansvaret. Men rollen skal gi råd, følge opp, og sørge for at behandlingen av personopplysninger skjer lovlig, sikkert og med respekt for de registrertes rettigheter.
DPO-en er også et kontaktpunkt mot Datatilsynet, og skal involveres i vurderinger knyttet til risikofylt behandling – som nye digitale løsninger, overvåking eller behandling av helseopplysninger.
Når er det lovpålagt å ha personvernombud?
For noen virksomheter er det ikke valgfritt – det er et krav.
Du må ha DPO dersom:
- Du er en offentlig myndighet eller organ (for eksempel skole, kommune eller NAV).
- Du har som kjernevirksomhet å overvåke personer systematisk og i stort omfang – typisk ved bruk av sporingsverktøy, adgangssystemer eller profilering.
- Du behandler sensitive personopplysninger i stort omfang, f.eks. helseopplysninger, fagforeningsmedlemskap eller biometriske data.
Dette gjelder uansett om virksomheten er offentlig eller privat. Et eksempel: En privat helseklinikk med elektronisk pasientjournaler vil normalt være omfattet. Det samme gjelder mange edtech-selskaper eller bemanningsbyråer.
Er du i tvil? Vi hjelper deg gjerne med en konkret vurdering.
Hva gjør en DPO i praksis?
Dette er kanskje det spørsmålet vi får oftest. Mange tror at en DPO “tar ansvar for alt”, men det stemmer ikke. Rollen er rådgivende – og skal fungere som en intern kontrollfunksjon.
En DPO skal blant annet:
- Gi råd om personvernregelverket og GDPR
- Følge opp virksomhetens interne rutiner og dokumentasjon
- Delta i vurderinger av nye løsninger (som apper, nettsider, skjemaer)
- Vurdere personvernkonsekvenser (DPIA) for risikofylte tiltak
- Bistå ved tilsyn fra Datatilsynet
- Gi råd til ansatte og ledelse – og være kontaktpunkt for registrerte
Vi har f.eks. bistått en kommune der DPO-en jobbet tett med skoleetaten om lagring av elevdata, og et IT-selskap som lanserte en ny app med innlogging via ansiktsgjenkjenning – hvor vi vurderte risiko og hjalp med utforming av samtykke og internkontroll.
Hvem kan være DPO – og hvilke krav stilles?
Du kan utpeke en intern medarbeider, men det må være noen med:
- Tilstrekkelig personvernfaglig kompetanse
- Uavhengig stilling (kan ikke ha andre oppgaver som gir interessekonflikt)
- Direkte tilgang til ledelsen
Det betyr at for mange små og mellomstore virksomheter vil det være utfordrende å finne noen som både har rett kompetanse og er uavhengige nok. I slike tilfeller kan ekstern DPO være et godt alternativ.
Les også: Personvern i arbeidslivet: Rettigheter og plikter for ansatte og arbeidsgivere
Ekstern DPO: Når lønner det seg å bruke advokat?
Vi fungerer ofte som ekstern DPO for virksomheter som ikke har kapasitet internt – eller som ønsker en profesjonell og objektiv vurdering. Som eksterne ombud kan vi:
- Rådgive ledelsen i alt fra markedsføring til HR og informasjonssikkerhet
- Gjennomføre vurderinger av nye digitale løsninger
- Følge opp rutiner, opplæring og dokumentasjon
- Representere dere i kontakt med Datatilsynet
Fordelen? Du får tilgang til spesialisert kompetanse, samtidig som du ivaretar kravet til uavhengighet.
Vi har for eksempel fungert som DPO for et helseteknologiselskap med datainnsamling fra brukere – der vi veiledet om risikovurdering, informasjonsplikt, samtykke og lagring.
Personvernombud i praksis – konkrete eksempler
1. Edtech-bedrift med elevdata:
Et norsk selskap som utviklet en læringsplattform for barn, var usikre på hvordan de skulle håndtere databehandleravtaler med skolene og informere om barns rettigheter. Vi bistod som ekstern DPO og hjalp med både vurderinger og kommunikasjon.
2. Kommunal barnehage:
En ansatt klaget på overvåkning via kamera i garderoben. Vi veiledet kommunen og DPO-funksjonen om vurdering av berettiget interesse og inngrep i privatliv.
3. Tilsyn fra Datatilsynet:
En virksomhet fikk varsel om tilsyn og ba oss overta DPO-rollen midlertidig. Vi sørget for komplett dokumentasjon, risikovurdering og dialog med Datatilsynet – og saken ble avsluttet uten pålegg.
Trenger du DPO? La oss vurdere det sammen
Ikke alle trenger et personvernombud – men flere enn mange tror gjør det. I tillegg er det mange som kan ha nytte av en uavhengig rådgiver, selv om det ikke er lovpålagt.
Judicia hjelper deg gjerne med å vurdere behovet – og kan også stille som ekstern DPO dersom det er riktig løsning for din bedrift.
