Hvordan vet jeg om vår virksomhet må ha et personvernombud?

For de fleste private virksomheter er det ikke et automatisk krav å ha personvernombud. Virksomheten bør vurdere om kjernevirksomheten innebærer regelmessig og systematisk overvåking av personer i stor skala, eller behandling av sensitive personopplysninger i stor skala. Dette er kriteriene som følger av GDPR artikkel 37.

Mange virksomheter som håndterer helseopplysninger, forsikringsopplysninger eller omfattende kunde- og brukerdata kan være pålagt å ha personvernombud. En vanlig håndverksbedrift, mindre konsulentvirksomhet eller lokal tjenestebedrift vil normalt ikke omfattes av kravet.

Dersom virksomheten er usikker, bør den dokumentere vurderingen. Datatilsynet anbefaler at virksomheter som vurderer spørsmålet, ser på omfanget av behandlingen, antall personer som berøres og hvor sentral behandlingen av personopplysninger er for virksomhetens drift.