Personvernombudets uavhengighet — hva Telenor-saken lærer oss

Hva skjedde?

Telenor hadde plassert personvernombudet i en rapporteringslinje under juridisk direktør. Juridisk direktør hadde selv ansvar for flere behandlinger som ombudet skulle kontrollere — og avskjedigelse av ombudet krevde ikke at styret ble involvert. Datatilsynet fant at dette skapte en strukturell interessekonflikt som undergravde ombudets uavhengighet.

Artikkel 38(3) — tre krav, tre fallgruver

Artikkel 38(3) stiller tre krav som hver for seg høres overkommelig ut, men som i praksis ofte brytes:

1. Ingen instruks. Ombudet skal ikke motta instrukser om hvordan oppgavene utføres. Det betyr i praksis at en leder ikke kan overstyre ombudets vurdering av en DPIA eller varsling til tilsynet.
2. Ingen sanksjon. Ombudet skal ikke avskjediges eller straffes for å utføre sine oppgaver. Det betyr strengere vern enn ordinære arbeidstakere — oppsigelse krever sterkere begrunnelse.
3. Rapportering til øverste nivå. Ombudet skal rapportere direkte til øverste leder — ikke mellom-ledd som juridisk direktør eller compliance officer.

“Et personvernombud som i praksis rapporterer til en leder som selv er ansvarlig for personvernrelaterte prosesser, er ikke tilstrekkelig uavhengig.”

Hvorfor dette rammer bank og forsikring spesielt

I bank og forsikring har compliance, juridisk og personvern tradisjonelt vært samlet i samme funksjon — gjerne i «Compliance & Legal» eller under Chief Legal Officer. Det er effektivt for koordinering, men skaper strukturelt akkurat den konflikten Telenor-saken straffet: den som skal kontrollere behandlinger rapporterer til den som svarer for dem.

Finanstilsynet forventer dessuten at finansinstitusjoner har "clear lines of responsibility" mellom 1., 2. og 3. forsvarslinje. En DPO som sitter i 1. linje (juridisk som del av driften) og rapporterer opp i samme linje, passer dårlig med det bildet — både Datatilsynet og Finanstilsynet kan reagere.

Sjekkliste: er ditt DPO-oppsett robust?

Hvordan KETL hjelper

KETLs Living Business Record (moat #72) og Event-Driven Review (moat #73) holder DPO-dokumentasjonen levende: hver gang en behandling endres, oppdateres vurderingen automatisk og DPO får varsling uten å måtte grave i linjens interne systemer. Det gir uavhengighet både i prinsipp og praksis — og gir tilsynet en klar, tidsstempllet audit trail å inspisere.