er jeg forpligtet til at ansætte en databeskyttelsesansvarlig for min virksomhed

For de fleste små og mellemstore virksomheder og selvstændige gælder ingen forpligtelse

En databeskyttelsesansvarlig, forkortet DBA, er for almindelige små og mellemstore virksomheder og de fleste selvstændige normalt ikke en forpligtelse. GDPR'en nævner et antal specifikke situationer, hvor en DBA er obligatorisk, og uden for disse situationer står det en organisation frit for selv at ansætte en, uden at loven tvinger det. I praksis gælder en obligatorisk DBA især for offentlige organisationer og for virksomheder, hvis kerneopgave består af storskala, systematisk overvågning af mennesker eller af storskala behandling af særlige kategorier af personoplysninger, såsom sundhedsoplysninger.

En webshop, et rådgivningsbureau, en entreprenør eller en selvstændig med et bogføringsprogram og et par SaaS-værktøjer falder i de fleste tilfælde uden for disse kategorier. Det betyder ikke, at der ikke er noget at gøre: selv uden DBA gælder forpligtelsen til at kunne dokumentere, hvilke personoplysninger der behandles, og med hvilket formål, for eksempel i behandlingsregisteret, og denne forpligtelse gælder lige så meget for en enkeltmandsvirksomhed. Den, der er i tvivl om, hvorvidt egen virksomhed falder inden for kategorien "storskala" eller "systematisk", finder mere vejledning ved spørgsmålet hvornår en DPIA er nødvendig, fordi denne samme risikovurdering ofte opstår samtidigt med spørgsmålet om DBA.

Dette er baseret på: artikel 2 og 30 GDPR

GDPR'en fastlægger i artikel 2 det materielle anvendelsesområde for forordningen, og artikel 30 regulerer behandlerregisteret med de undtagelser, der gælder herfor — forpligtelsen til at have en DBA selv står andre steder i forordningen, men omfanget og arten af den behandling, der spiller en rolle her, stemmer overens med de samme kriterier som for registeret og DPIA-forpligtelsen. En del af denne vurdering er faktisk: hvor mange mennesker overvåges, hvor systematisk, og hvilke slags oplysninger drejer det sig om. Datatilsynet offentliggør nærmere vejledning herom for dansk praksis, mens spørgsmålet om, hvorvidt en DBA er obligatorisk, er baseret på samme forordning overalt i EU — nationale tilsynsmyndigheder kan dog, herunder Datatilsynet i Danmark og tilsynsmyndigheder i andre medlemsstater, have egen vejledning eller supplerende registreringskrav omkring ansættelsen af en DBA.