Har jeres virksomhed en databeskyttelsesrådgiver, skal vedkommende typisk høres tidligt i en intern undersøgelse, fordi undersøgelsen er en behandling af personoplysninger. DPO’en rådgiver om reglerne og kontrollerer, at de overholdes. DPO’en skal ikke lede undersøgelsen, træffe beslutningerne eller selv gennemgå materialet. Rollefordelingen skal tjekkes i forhold til jeres egen organisation.
I praksis går det ofte galt på en af to måder. Enten bliver DPO’en slet ikke spurgt, fordi sagen er fortrolig. Eller DPO’en bliver gjort til sagsbehandler, fordi vedkommende “kender reglerne”. Begge dele kan skabe problemer.
Hvad siger reglerne om DPO’ens rolle?
Databeskyttelsesforordningen beskriver, at DPO’en skal inddrages rettidigt og korrekt i alle spørgsmål om beskyttelse af personoplysninger. DPO’en skal blandt andet underrette og rådgive, overvåge overholdelsen og rådgive om konsekvensanalyser. DPO’en må ikke modtage instruktioner om, hvordan opgaverne udføres, og må ikke have andre opgaver, der giver en interessekonflikt.
Det betyder i en intern undersøgelse: DPO’en skal have mulighed for at rådgive, men ikke være den, der bestemmer, hvad der undersøges, eller den, der læser medarbejderens mails.
Hvornår skal DPO’en høres?
- Før bevarelse, hvis tiden tillader det · Om bevarelsen er proportional
- Før gennemgang af data · Formål, grundlag, afgrænsning og minimering
- Ved spørgsmål om orientering · Om og hvor længe orienteringen kan udskydes
- Ved deling med eksterne · Aftaler og overførsel
- Ved afslutning · Opbevaring og sletning
Haster bevarelsen, så bevar først, og hør DPO’en, før nogen begynder at gennemgå data. Skriv ned, hvorfor rækkefølgen blev sådan.
→ GDPR-tjekliste før en intern undersøgelse
Hvad I gør nu, i rækkefølge
- Giv DPO’en besked tidligt. Brug et kodenavn for sagen, og fortæl det nødvendige.
- Del formålet og den foreløbige afgrænsning. Bed om skriftlige bemærkninger.
- Tag stilling til rådet. I behøver ikke følge det, men I skal kunne forklare, hvorfor I ikke gjorde.
- Inddrag DPO’en igen ved ændringer. Udvides undersøgelsen, skal det vurderes på ny.
- Gem rådgivningen i sagsmappen. Med dato og navn.
Hvem gør hvad
- Sagsejer (leder) · Beslutter og tager ansvaret
- HR · Koordinerer og fører dokumentation
- DPO · Rådgiver og kontrollerer, beslutter ikke
- Advokat · Rådgiver om ansættelsesret og sagen
- IT-sagkyndig · Sikrer og gennemgår inden for afgrænsningen
Hvad DPO’en ikke skal
- Lede undersøgelsen. Så bliver DPO’en både den, der træffer beslutninger, og den, der skal kontrollere dem.
- Selv gennemgå materialet. Det giver en interessekonflikt og gør DPO’en til en del af sagen.
- Godkende undersøgelsen. DPO’en rådgiver. Ansvaret ligger hos ledelsen.
- Være vidne. Hvis DPO’en har set materialet, kan vedkommende blive bedt om at forklare sig.
Det kan være fristende i en lille organisation, hvor DPO-rollen er en ekstra kasket på en HR-chef eller en IT-ansvarlig. Så skal I være ekstra opmærksomme på, hvilken kasket personen har på i sagen, og skrive det ned.
Når DPO’en selv er tæt på sagen
Det sker, at DPO’en er kollega med, ven af eller underlagt den, der undersøges. Eller at DPO-funktionen ligger hos en IT-medarbejder, der selv har adgang til de systemer, sagen handler om. Så kan det være nødvendigt at bruge en ekstern rådgiver i stedet. Det samme gælder, hvis mistanken angår ledelsen. → Den undersøgende er inhabil
Ekstern DPO
Mange mindre virksomheder har en ekstern DPO, for eksempel hos et rådgivningsfirma. Det er ofte en fordel i en intern undersøgelse, fordi den eksterne er længere fra sagen. Tjek, hvad aftalen dækker, og om rådgivning i en konkret sag er med, eller om det skal bestilles særskilt.
Fortrolighed
DPO’en har tavshedspligt om de opgaver, vedkommende udfører. Det betyder ikke, at alle oplysninger skal deles. DPO’en skal have det, der er nødvendigt for at rådgive, ikke nødvendigvis navne, beviser og detaljer. Ofte kan rådgivningen ske ud fra en beskrivelse af typen af data og formålet.
→ Intern undersøgelse: hvem skal vide hvad?
Det skal I lade være med
- At holde DPO’en ude, fordi sagen er fortrolig. DPO’en er en del af den lille kreds.
- At bede DPO’en om en hurtig mundtlig godkendelse i telefonen. Bed om rådet skriftligt.
- At lade DPO’en stå for kontakten med den undersøgte. Det er HR’s opgave.
- At bruge DPO’ens råd som skjold uden at have givet DPO’en de rette oplysninger.
Hvis I ikke har en DPO
Ikke alle virksomheder skal have en DPO. Har I ingen, ligger opgaven med at vurdere databeskyttelsen hos ledelsen, ofte med hjælp fra HR og advokaten. Spørgsmålene er de samme. Det vigtigste er, at nogen tager stilling og skriver svaret ned.
Konsekvensanalyse
Indfører I ny logning eller nye værktøjer som følge af sagen, kan det kræve en konsekvensanalyse. Her skal DPO’en rådgive. → Konsekvensanalyse (DPIA) for logning
Uenighed mellem DPO og ledelse
Det kan ske, at DPO’en fraråder noget, som ledelsen mener er nødvendigt for sagen. Det er ikke et problem i sig selv. Det er netop derfor, rollerne er adskilt. Men uenigheden skal håndteres ordentligt. Bed DPO’en skrive rådet og begrundelsen ned. Skriv ledelsens beslutning og begrundelse ned ved siden af. Tal med advokaten, hvis uenigheden handler om noget, der kan få betydning for sagen eller give medarbejderen et krav. Læg begge notater i sagsmappen. Det viser, at beslutningen er truffet bevidst og efter rådgivning, ikke i hast.
Et eksempel på en henvendelse til DPO’en
En første henvendelse kan være kort og stadig give DPO’en det, der skal til:
“Vi har en konkret mistanke om, at en medarbejder har kopieret kundedata i de sidste tre uger. Vi vil bevare postkasse, OneDrive og den bærbare computer og lade en ekstern IT-sagkyndig gennemgå dem for perioden, afgrænset til filer og mails om kunder. Vi overvejer at udskyde orienteringen af medarbejderen, til sikringen er sket. Vi vil gerne have dit skriftlige råd om grundlag, afgrænsning og orientering inden fredag.”
Henvendelsen siger ikke, hvem medarbejderen er, og den indeholder ingen beviser. Hvis DPO’en har brug for mere for at kunne rådgive, kan vedkommende spørge.
Når sagen er slut
Inddrag DPO’en igen, når undersøgelsen afsluttes. Spørgsmålene er nu: Hvad skal gemmes, hvor længe, og hvem sletter resten? Skal der ske noget fremadrettet, for eksempel ændret logning eller en opdateret IT-politik? DPO’ens råd på dette tidspunkt er med til at lukke sagen ordentligt, og det er ofte her, de vigtigste erfaringer for næste gang bliver samlet op.
Hvornår skal I have hjælp udefra
Få en ekstern DPO eller advokat ind, hvis jeres egen DPO er inhabil eller har en dobbeltrolle. Få en IT-sagkyndig til at sikre og gennemgå data, så hverken DPO’en eller jeres egen IT kommer til at se materialet. Det holder rollerne rene, og det gør undersøgelsen lettere at forsvare.
Læs også: Skal den undersøgte medarbejder orienteres, og hvornår? · Konsekvensanalyse (DPIA) for logning og interne undersøgelser
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
