Hvaða stofnanir/fyrirtæki verða að tilnefna persónuverndarfulltrúa?
Meginstarfsemi
Hugtakið meginstarfsemi felur í sér að vinnsla persónuupplýsinga þarf að vera einn af lykilþáttum í starfsemi ábyrgðaraðila eða vinnsluaðila. Hugtakið tekur einnig til þess þegar vinnsla persónuupplýsinga er órjúfanlegur hluti starfseminnar.
Hins vegar hafa flestar stofnanir og/eða fyrirtæki með höndum ýmsa stoðstarfsemi, til dæmis í tengslum við greiðslu launa eða rekstur tölvukerfa. Slík stoðstarfsemi telst ekki til meginstarfsemi fyrirtækis/stofnunar þótt þessi starfsemi sé vissulega nauðsynleg og óhjákvæmileg fyrir daglega starfsemi og feli oft í sér vinnslu persónuupplýsinga.
Vinnsla heilsufarsupplýsinga, sem teljast til viðkvæmra persónuupplýsinga, er til dæmis hluti af meginstarfsemi spítala og því verða slíkar stofnanir að tilnefna persónuverndarfulltrúa.
Dæmi
Lítið fjölskyldufyrirtæki selur heimilistæki í litlum bæ og notar þjónustu vinnsluaðila. Meginstarfsemi vinnsluaðilans er að veita þjónustu við greiningu á vefsíðu fjölskyldufyrirtækisins og aðstoð við að finna markhópa fyrir auglýsingar.
Starfsemi fjölskyldufyrirtækisins felur ekki í sér umfangsmikla vinnslu persónuupplýsinga um viðskiptavini, í ljósi þess hve fáir viðskiptavinirnir eru og þess að fyrirtækið er með mjög afmarkaða starfsemi.
Á hinn bóginn telst vinnsla persónuupplýsinga hjá vinnsluaðilum, sem er með marga viðskiptavini eins og þetta litla fyrirtæki, vera umfangsmikil.
Vinnsluaðilinn þarf því að tilnefna persónuverndarfulltrúa. Hins vegar er litla fjölskyldufyrirtækinu ekki skylt að tilnefna persónuverndarfulltrúa.
