Hvordan demonstrere samsvar med GDPR artikkel 37

Databeskyttelsesansvarlige er en grunnleggende komponent i enhver organisasjons bredere cybersikkerhetsoperasjon.

GDPR Artikkel 37 understreker viktigheten av rollen, og gir veiledning om hvordan en DPO bør utnevnes, rollens kjerneaktiviteter og hvordan slike ansettelser kommuniseres.

GDPR artikkel 37 juridisk tekst

EU GDPR-versjon

Utpeking av personvernombudet

1. Den behandlingsansvarlige og databehandleren skal utpeke et databeskyttelsesansvarlig i alle tilfeller der:
• (a) behandlingen utføres av en offentlig myndighet eller et offentlig organ, med unntak av domstoler som handler i deres dømmende egenskap;
• (b) den behandlingsansvarliges eller databehandlerens kjerneaktiviteter består av behandlingsoperasjoner som i kraft av sin natur, omfang og/eller formål krever regelmessig og systematisk overvåking av registrerte i stor skala; eller
• (c) den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandling i stor skala av spesielle kategorier av data i henhold til artikkel 9 og personopplysninger knyttet til straffedommer og lovbrudd nevnt i artikkel 10.
2. En gruppe foretak kan utnevne et enkelt personvernombud forutsatt at et personvernombud er lett tilgjengelig fra hver virksomhet.
3. Der den behandlingsansvarlige eller databehandleren er en offentlig myndighet eller et offentlig organ, kan en enkelt personvernombud utpekes for flere slike myndigheter eller organer, under hensyntagen til deres organisasjonsstruktur og størrelse.
4. I andre tilfeller enn de som er nevnt i nr. 1, kan den behandlingsansvarlige eller databehandleren eller sammenslutninger og andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere, eller, der det kreves av unions- eller medlemsstatslovgivningen, utpeke et personvernombud. Databeskyttelsesansvarlig kan opptre for slike foreninger og andre organer som representerer behandlingsansvarlige eller databehandlere.
5. Personvernombudet skal utpekes på grunnlag av faglige egenskaper og særlig ekspertkunnskap om personvernlovgivning og -praksis og evne til å utføre oppgavene nevnt i artikkel 39.
6. Personvernombudet kan være en ansatt hos behandlingsansvarlig eller databehandler, eller utføre oppgavene på grunnlag av en tjenestekontrakt.
7. Den behandlingsansvarlige eller databehandleren skal offentliggjøre kontaktopplysningene til personvernombudet og formidle dem til tilsynsmyndigheten.

UK GDPR-versjon

Utpeking av personvernombudet

1. Den behandlingsansvarlige og databehandleren skal utpeke et databeskyttelsesansvarlig i alle tilfeller der:
• (a) behandlingen utføres av en offentlig myndighet eller et offentlig organ, med unntak av domstoler som handler i deres dømmende egenskap;
• (b) den behandlingsansvarliges eller databehandlerens kjerneaktiviteter består av behandlingsoperasjoner som i kraft av sin natur, omfang og/eller formål krever regelmessig og systematisk overvåking av registrerte i stor skala; eller
• (c) den behandlingsansvarliges eller databehandlerens kjernevirksomhet består av behandling i stor skala av spesielle kategorier av data i henhold til artikkel 9 og personopplysninger knyttet til straffedommer og lovbrudd nevnt i artikkel 10.

2. En gruppe foretak kan utnevne et enkelt personvernombud forutsatt at et personvernombud er lett tilgjengelig fra hver virksomhet.
3. Der den behandlingsansvarlige eller databehandleren er en offentlig myndighet eller et offentlig organ, kan en enkelt personvernombud utpekes for flere slike myndigheter eller organer, under hensyntagen til deres organisasjonsstruktur og størrelse.
4. I andre tilfeller enn de som er nevnt i nr. 1, kan den behandlingsansvarlige eller databehandleren eller sammenslutninger og andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere utpeke en personvernombud. Databeskyttelsesansvarlig kan opptre for slike foreninger og andre organer som representerer behandlingsansvarlige eller databehandlere.
5. Personvernombudet skal utpekes på grunnlag av faglige egenskaper og særlig ekspertkunnskap om personvernlovgivning og -praksis og evne til å utføre oppgavene nevnt i artikkel 39.
6. Personvernombudet kan være en ansatt hos behandlingsansvarlig eller databehandler, eller utføre oppgavene på grunnlag av en tjenestekontrakt.
7. Den behandlingsansvarlige eller databehandleren skal offentliggjøre kontaktopplysningene til personvernombudet og kommunisere dem til kommissæren.