En databeskyttelsesansvarlig er en person, der er udpeget af en virksomhed til at overvåge overholdelsen af databeskyttelse i virksomheden. Ansvarsområdet dækker alle personoplysninger.
© putilov_denis, Fotolia.com
Hvad gør databeskyttelsesrådgiveren egentlig?
Databeskyttelsesrådgiveren sikrer, at kun personer med den relevante autorisation kan få adgang til de oplysninger, der er beregnet til dem. For at gøre dette skal de anvendte softwaresystemer tilpasses databeskyttelsesbestemmelserne og konfigureres korrekt. Dette kræver ofte en professionel udveksling med it -sikkerhedsofficeren eller netværksadministratoren, hvorfor databeskyttelsesofficeren ikke selv må besidde nogen af disse stillinger, så der ikke opstår interessekonflikter.
Et andet aktivitetsfokus er at rådgive ledelsen om alle spørgsmål om databeskyttelse. Hvorved han kun kan komme med forslag og ikke er autoriseret til at give instruktioner til ledelsen. Databeskyttelsesrådgiveren fører et register over alle behandlingsprocedurer for personoplysninger. Derfor er han også den direkte kontaktperson for eksterne personer, når det kommer til beskyttelse af personoplysninger på virksomhedens websted. I databeskyttelseserklæringen på virksomhedens websted er han opmærksom på, at oplysningerne om de indsamlede data er fuldstændige. Dataindsamlingens art og formål, det anvendelsesområde, som databeskyttelseserklæringen vedrører, samt hvilke data der registreres i hvilket omfang, og hvad der sker med disse data, er obligatoriske oplysninger. Som ansvarlig for spørgsmål vedrørende indholdet af databeskyttelseserklæringen og håndteringen af beskyttelsesværdige personoplysninger er han forpligtet til at oplyse sit navn og en kontaktmulighed for spørgsmål.
Han er også til enhver tid tilgængelig for virksomhedens egne medarbejdere, hvis de har spørgsmål eller problemer vedrørende databeskyttelse. Derudover er det hans opgave regelmæssigt at informere medarbejderne om databeskyttelse og af og til gennemføre kurser i databeskyttelse.
Hvem har brug for en databeskyttelsesofficer?
En databeskyttelsesofficer er påkrævet for forretningsrelateret indsamling af personoplysninger. © Rawpixel.com, Fotolia.com
Ifølge Federal Data Protection Act (BDSG §4) er enhver virksomhed, der behandler personoplysninger automatisk, forpligtet til at udpege en databeskyttelsesansvarlig. Dette skal ske senest en måned efter arbejdets start. Hvis udnævnelsen ikke foretages, eller hvis der udpeges en databeskyttelsesrådgiver, der ikke opfylder kravene til stillingen, må en tilsvarende bøde forventes.
Udnævnelsen af en databeskyttelsesofficer er
- uanset antallet af medarbejdere, hvis de som ansvarligt organ indsamler, behandler eller bruger personoplysninger på forretningsbasis
- uanset antallet af medarbejdere, hvis de som ansvarlig instans udfører automatiseret databehandling, der er genstand for forudgående kontrol
Ellers er ordren påkrævet hvis
- Mindst ti ansatte som ansvarlig instans beskæftiger sig konstant med automatiseret dataindsamling, databehandling eller databrug
- mindst tyve medarbejdere beskæftiger sig med ikke-automatisk dataindsamling, databehandling eller databrug
For at præcisere, hvad persondata er, forklarer BDSG § 3:
- Personoplysninger er individuelle oplysninger om personlige eller faktiske omstændigheder for en bestemt fysisk person eller en berørt person
- Automatiseret behandling er indsamling, behandling eller brug af personoplysninger ved hjælp af databehandlingssystemer
- Ikke-automatiseret behandling er enhver ikke-automatiseret indsamling af personoplysninger, der er struktureret på samme måde og kan evalueres i henhold til visse egenskaber
- Indsamlingen af data er indsamling af data om den pågældende person
- Databehandling er lagring, ændring, overførsel, blokering og sletning af personoplysninger
- Brug af data er brug af personoplysninger, medmindre det drejer sig om databehandling
Hvem kan blive databeskyttelsesansvarlig?
©blænde 11. foto, Fotolia.com
Som et grundlæggende krav for at blive betragtet som en databeskyttelsesansvarlig skal passende specialistviden være tilgængelig. Det betyder, at kendskab til de gældende databeskyttelsesregler og retningslinjer skal kendes og bruges sikkert. Velbegrundet it-viden samt grundlæggende juridisk og organisatorisk viden skal også være tilgængelig. Den fremtidige databeskyttelsesofficer skal være i stand til at forstå de databehandlingssystemer, der bruges til at foreslå og evaluere foranstaltninger til beskyttelse af dataene.
Som et yderligere grundlæggende krav skal den udpegede databeskyttelsesansvarlige være pålidelig. Dette betyder også, at han kan udføre sin opgave fri for samvittighedskonflikter og interesser. Der er positioner i virksomheden, hvor databeskyttelsesopgaven kolliderer med andre aktivitetsområder. Følgende funktionærer er i virksomheden ikke egnet til aktiviteten som databeskyttelsesansvarlig:
- personalechef
- Afdelingsleder
- IT -styring
- Administratorer
- Virksomhedsadvokat
Grundlæggende er der en interessekonflikt for alle personer, der som databeskyttelsesofficerer skulle kontrollere sig selv. Enhver, der kan demonstrere de grundlæggende krav til teknisk knowhow og pålidelighed, er derfor generelt egnet til at blive udpeget som databeskyttelsesansvarlig.
Hvordan bliver du en databeskyttelsesofficer?
For at blive databeskyttelsesansvarlig skal forudsætningerne for stillingen først være opfyldt. Den tilsvarende tekniske viden skal være tilgængelig, og det skal være muligt at anvende den, ligesom pålideligheden skal bevises. For interne databeskyttelsesofficerer er det tilrådeligt at erhverve specialistviden om de nuværende krav til databeskyttelse gennem databeskyttelsesseminarer, inden du arbejder som databeskyttelsesansvarlig.
For at blive databeskyttelsesansvarlig skal den respektive virksomhed bestille en skriftligt. Det er fuldstændigt uafhængigt, om den kommende databeskyttelsesansvarlige tilhører virksomheden eller fungerer som ekstern person. For at ansættelsen til den databeskyttelsesansvarlige skal være lovlig, skal processen udføres på en meget formel måde i henhold til specificerede regler. Følgende punkter skal overholdes (kilde: https://www.datenschutzbeauftragter-info.de/betrieblicher-datenschutzbeauftragter-wie-erhaben-die-bestellung/)
- Ordren skal foretages skriftligt
- Ordredokumentet skal underskrives af databeskyttelsesrådgiveren og virksomheden
- Ordren skal foretages uafhængigt og adskilt fra en mulig medarbejderkontrakt
- En stillingsbeskrivelse skal være tilgængelig
- Der skal være en forpligtelse fra virksomhedens side til at give databeskyttelsesrådgiveren personlig og materiel støtte i sit arbejde
Hvilke forpligtelser har den databeskyttelsesansvarlige?
© geralt (CC0 -licens, Pixabay.com)
Det er databeskyttelsesrådgiverens pligt at overvåge, at databeskyttelse overholdes og overholdes i virksomheden. Han påpeger underskud og forseelser og udvikler strategier til at forbedre overholdelsen af databeskyttelse. Han er til enhver tid tilgængelig som kontaktperson for ledelsen og for medarbejdere med spørgsmål og problemer vedrørende databeskyttelse. Databeskyttelsesrådgiveren er forpligtet til at holde tavshedspligt om den pågældende persons identitet eller til oplysninger, der kan føre til identifikation af den pågældende person, medmindre han er fritaget for tavshedspligten. På virksomheder med en virksomheds hjemmeside er han også tilgængelig for eksterne personer med spørgsmål om intern håndtering af personoplysninger.
En gang om året udarbejder databeskyttelsesrådgiveren en databeskyttelsesrapport, hvor databeskyttelseshændelser er anført og præsenteret mere detaljeret. Ligeledes de nødvendige foranstaltninger, der er nødvendige for bedre beskyttelse.
Intern eller ekstern databeskyttelsesansvarlig?
Med ikrafttrædelsen af den europæiske generelle databeskyttelsesforordning, der er planlagt til 2022-2023, vil der være en ensartet lovramme for certificering af kvalitetsstempler ved brug af databeskyttelsesrevisioner. © dizain, Fotolia.com
Det er muligt at udpege din egen medarbejder som intern databeskyttelsesansvarlig eller alternativt vælge en ekstern tjenesteudbyder. Hvilken løsning er det bedre valg for hvilket selskab afhænger af dine egne præferencer.
Fordelene ved en intern databeskyttelsesansvarlig er:
- godt kendskab til virksomhedens struktur og processer
- konstant tilgængelighed
Ulemperne ved en intern databeskyttelsesansvarlig er:
- højere uddannelsesomkostninger
- hovedaktiviteten lider midlertidigt af aktiviteten som databeskyttelsesansvarlig
- hvis der er interessekonflikter, eller hvis forudsætningen for at være databeskyttelsesansvarlig mangler, anses han for ikke at være udpeget
- Udvidet beskyttelse mod afskedigelse, beskyttelse mod afskedigelse fortsætter i et år efter, at stillingen som databeskyttelsesansvarlig er blevet afskediget
Fordelene ved en ekstern databeskyttelsesofficer er:
- ingen interessekonflikter eller kollision med andre operationelle opgaver
- ingen nedetid for dine egne medarbejdere, fx gennem uddannelse
- bedre beskyttelse i ansvarsspørgsmål
- regelmæssige opsigelsesfrister er mulige
Ulemperne ved en ekstern databeskyttelsesansvarlig er:
- Kendskab til de nødvendige interne strukturer og processer
For større virksomheder er adgangen til en ekstern databeskyttelsesofficer normalt billigere og indebærer færre risici. For mindre virksomheder, der kun genererer små mængder personoplysninger, kan valget af en intern databeskyttelsesofficer være tilstrækkeligt.
Hvor meget tjener du som databeskyttelsesrådgiver?
Databeskyttelsesrådgiverens løn afhænger i det væsentlige af branchen, virksomhedens størrelse og den databeskyttelsesansvarliges ansvarsområde. Jo større ansvarsområde og jo mere komplekse strukturer, jo mere kan der forventes som løn. Der er også en forskel mellem en fuldtidsbeskyttet databeskyttelsesansvarlig og en stedfortræder for databeskyttelse. De offentlige løndatabaser viser lønninger mellem 2.000 og 6.500 euro om måneden.
Billedkilder (fotolia):
# 89127696 | Forfatter: putilov_denis
#105654764 Rawpixel.com
# 72098640 | Forfatter: blende11.photo
Pixabay.com geralt (CC0 -licens, Pixabay.com)
# 72880465 | Forfatter: dizain
