Det norske Datatilsyn har udstedt en millionbøde til Telenor for utilstrækkelige organisatoriske foranstaltninger omkring databeskyttelsesrådgiveren (DPO). Tilsynet konstaterede manglende dokumentation for DPO'ens uafhængighed og mulige interessekonflikter samt fravær af en klar rapporteringslinje til øverste ledelse. Afgørelsen skærper fokus på, at organisationer med DPO skal kunne demonstrere uvildighed i praksis og have styr på governance og dokumentation.
Krav til DPO'ens uafhængighed
Efter GDPR skal DPO'en være fri for interessekonflikter og må ikke træffe beslutninger om formål og hjælpemidler for behandlingen, som DPO'en siden skal føre tilsyn med. Det betyder, at funktioner som it- eller informationssikkerhedschef, drift eller andre beslutningsfunktioner normalt ikke kan forenes med DPO-rollen.
Et typisk konfliktpunkt opstår, når en medarbejder både har ansvar for implementering af systemer med personoplysninger og samtidig forventes at kontrollere og rådgive om samme behandling. Den dobbelte kasket underminerer uafhængigheden og strider mod forordningens krav om funktionsadskillelse.
Dokumentation og rapportering
GDPR forpligter den dataansvarlige og databehandleren til at kunne dokumentere, at DPO'en er egnet og uafhængig i forhold til sine øvrige opgaver. Dette er en del af accountability-princippet og de organisatoriske foranstaltninger. Vurderingen bør være skriftlig, begrundet og regelmæssigt opdateret.
DPO'en skal desuden rapportere direkte til øverste ledelsesniveau, og ledelsen må ikke instruere DPO'en om udførelsen af opgaverne. En tydelig governance-struktur med klare roller, rapporteringslinjer og konfliktvurderinger reducerer risikoen for sanktionssager og styrker organisationens compliance.
For at tydeliggøre DPO'ens mandat bør organisationen beskrive roller og ansvar i en rollebeskrivelse, etablere kontrolspor for udpegning og genvurdering samt sikre, at DPO'en har tilstrækkelige ressourcer og adgang til relevante beslutningsfora.
DPO'ens kerneopgaver
Forordningen fastlægger en række minimumsopgaver, som organisationen skal understøtte og afspejle i sine processer og politikker:
- Rådgive den dataansvarlige om forpligtelser efter databeskyttelsesreglerne.
- Overvåge efterlevelse af GDPR og interne politikker.
- Rådgive om og følge op på konsekvensanalyser (DPIA).
- Samarbejde med tilsynsmyndigheden.
- Være kontaktpunkt for tilsynsmyndigheden og registrerede.
Afgørelsen illustrerer, at svigt i uafhængighed, dokumentation og rapportering kan udløse betydelige administrative bøder efter GDPR. En risikobaseret tilgang, klar funktionsadskillelse og løbende ledelsesopfølgning er derfor centrale tiltag for at sikre robust databeskyttelsescompliance.
