Justitsministeriet og Datatilsynet udsendte d. 20. november en ny vejledning om dataansvarlige og databehandlere. Ud over at definere de forskellige roller og de dertilhørende krav, indeholder vejledningen en række eksempler, der kan hjælpe virksomheder og myndigheder med at afklare deres rolle, når de behandler personoplysninger.
Dataansvarlig – hvad betyder det?
Den dataansvarlige er den fysiske eller juridiske person, der afgør hvordan og til hvilket formål, der må registreres og behandles personoplysninger - herunder procedurer for indsamling, videregivelse og sletning af oplysninger. Den dataansvarlige er ansvarlig for at sikre, at persondataforordningens regler om behandling af personoplysninger bliver overholdt, og at der er et sagligt formål med behandlingen samt et juridisk grundlag (hjemmel) for behandlingen.
Databehandler – hvad betyder det?
En databehandler kendetegnes ved kun at behandle personoplysninger på vegne af en dataansvarlig. Databehandleren behandler aldrig personoplysninger til egne formål og må derfor ikke bruge de tilgængelige oplysninger til andet end udførelsen af opgaven for den dataansvarlige. En databehandler kan fx være et lønbureau, en it-virksomhed eller et rekrutteringsbureau.
Krav om databehandleraftale
Når en dataansvarlig bruger en leverandør som databehandler, skal den dataansvarlige instruere databehandleren i behandlingen af personoplysningerne, og samtidig skal den dataansvarlige sikre sig, at databehandleren også overholder persondataforordningen. Det sker ved, at de to parter udarbejder og underskriver en lovpligtig databehandleraftale.
Databehandleraftalen skal være skriftlig og skal som minimum indeholde oplysninger om, hvilken kategori af personoplysninger, der behandles (almindelige eller følsomme oplysninger), formålet med behandlingen og varigheden af behandlingen.
Udveksling af persondata mellem to dataansvarlige
Hvis to selvstændige dataansvarlige parter udveksler personoplysninger, skal der være et behandlingsgrundlag for hver dataansvarlig. Et behandlingsgrundlag kan fx bygge på et krav i en anden lov, eller hvis der foreligger et samtykke fra de registrerede. Det kan fx være en arbejdsgiver, der videregiver oplysninger om indeholdte skatter for medarbejderne til SKAT, og SKAT har sit eget lovgrundlag for at behandle oplysningerne.
Hvis man videregiver oplysninger til en anden dataansvarlig, som behandler oplysningerne til egne formål, som ikke er lovbestemt – fx markedsføring af produkter, skal der foreligge et samtykke fra den registrerede til denne videregivelse.
Den dataansvarlige, der afgiver personoplysningerne, skal altså være sikker på, at man har lov til at videregive oplysningerne. Og den dataansvarlige, der modtager oplysningerne, skal sikre sig, at man har lov til at behandle oplysningerne ud fra sine egne nye formål. I den forbindelse skal den modtagne dataansvarlige selv opfylde sin oplysningspligt over for de registrerede efter reglerne i persondataforordningen.
Der kan dog også forekomme situationer, hvor to dataansvarlige i fællesskab bestemmer formål med en databehandling og hvordan det skal foregå – fx i et joint venture. I sådanne situationer skal der ligge en klar aftale mellem de to dataansvarlige om hvem, der fx opfylder oplysningspligten. I sidste ende vil de dog hæfte solidarisk over for de registrerede, hvis der sker fejl.
8 kommentar
Arne
Den nysgerrige
Den videbegærlige
Den videbegærlige
Stephanie
Den videbegærlige
Dorthe
Sabine Pedersen