Dataansvarlig eller databehandler: hvem er hvem i henhold til GDPR?

En dataansvarlig beslutter, hvorfor og hvordan personoplysninger behandles; en databehandler behandler kun personoplysninger efter den dataansvarliges instruktioner. Det er vigtigt at gøre dette rigtigt, fordi din rolle bestemmer, hvem der har brug for et lovligt grundlag, hvem der skal besvare anmodninger fra den registrerede, hvem der rapporterer et brud, og hvem der er ansvarlig, hvis noget går galt.

Hvordan skelner man en controller fra en processor?

Du spørger, hvem der bestemmer, hvorfor dataene behandles, og i bund og grund hvordan. En dataansvarlig fastlægger formålet og de væsentligste midler til behandlingen. En databehandler handler udelukkende efter den dataansvarliges dokumenterede instruktioner og bruger ikke dataene til egne formål.

Bestemmer kontrakten din rolle?

Nej. At kalde sig selv databehandler i aftalen gør dig ikke til det. Hvis en leverandør bruger dataene til egne formål – til at forbedre sit produkt, opbygge en profil eller markedsføre sig over for de berørte personer – er vedkommende dataansvarlig for den pågældende behandling, uanset hvad der står i kontrakten.

Typiske databehandlere: en hostingudbyder, et lønbureau, der handler udelukkende efter instruktioner, en e-mailleveringstjeneste. Typiske dataansvarlige, selvom de er engageret af en anden part: en revisor, der udfører en lovpligtig revision, en advokat, der fører en sag, en bedriftssundhedstjeneste, der udøver sine egne professionelle opgaver.

Hvad hvis du og en anden part i fællesskab bestemmer formålene?

I er derefter fælles dataansvarlige, og I skal fastsætte jeres respektive ansvarsområder i en aftale mellem jer, navnlig vedrørende de registreredes rettigheder og informationspligter. Kernen af ​​denne aftale skal gøres tilgængelig for de berørte personer.

Fælles kontrol opstår oftere, end organisationer forventer: fælles platforme, fælles kampagner og sociale mediesider er alle blevet behandlet som fælles dataansvarlig. En registreret person kan udøve sine rettigheder over for begge fælles dataansvarlige, uanset hvordan I har fordelt ansvaret internt mellem jer.

Hvad skal en databehandleraftale indeholde?

Når du engagerer en databehandler, er en skriftlig aftale obligatorisk, og dens indhold er fastlagt: behandlingens genstand og varighed, dens art og formål, datatyper og kategorier af registrerede, dine instruktioner som dataansvarlig, fortrolighed, sikkerhedsforanstaltninger, betingelserne for at engagere underdatabehandlere, assistance med anmodninger fra registrerede og anmeldelse af brud på datasikkerheden, hvad der sker med dataene ved aftalens udløb, og dine revisionsrettigheder.

Hvor starter konflikter typisk?

To klausuler forårsager de fleste problemer i praksis. Underdatabehandling: Generel skriftlig tilladelse er tilladt, men databehandleren skal informere dig om eventuelle påtænkte ændringer og give dig mulighed for at gøre indsigelse. Og returnering eller sletning ved forholdets afslutning: Aftal hvilken af ​​de to der gælder, og i hvilket format, før forholdet afsluttes, snarere end under en tvist.

Hvem er ansvarlig, hvis behandlingen går forkert?

Du er som dataansvarlig ansvarlig for skader forårsaget af behandling, der overtræder GDPR. En databehandler er kun ansvarlig, hvis denne ikke har overholdt de forpligtelser, som GDPR specifikt pålægger databehandlere, eller har handlet uden for eller i strid med dine lovlige instruktioner. Hvis I begge er involveret i den samme behandling, kan I hver især holdes ansvarlige for hele skaden over for den pågældende person med efterfølgende regresret mellem jer – derfor er det værd at forhandle omhyggeligt om ansvarsbestemmelserne i en databehandleraftale.

Sammenfattende

• Din rolle følger fakta, ikke etiketten i din kontrakt: den, der bestemmer formålet og de væsentlige midler, er den dataansvarlige.
• Hvis I sammen med en anden part beslutter formålene, er I fælles dataansvarlige og skal registrere jeres ansvarsfordeling.
• En databehandleraftale skal dække genstand, varighed, art, formål, datatyper, dine instruktioner, sikkerhed, underdatabehandling, bistand, returnering eller sletning samt revisionsrettigheder.
• En databehandler må kun udlicitere data med din tilladelse og skal give dig mulighed for at gøre indsigelse mod enhver ændring af underdatabehandler.
• Ansvar kan påløbe begge parter for den samme skade, så forhandle om erstatningsklausulen, inden du underskriver.

Ofte stillede spørgsmål

Kan én part være dataansvarlig for en del af behandlingen og databehandler for en anden del?
Ja. Vurderingen foretages pr. behandlingsaktivitet, ikke pr. relation, så den samme part kan have begge roller for forskellige datastrømme.

Har du brug for en databehandleraftale, hvis du kun lejlighedsvis deler data med en leverandør?
Ja, hvis leverandøren behandler personoplysninger efter dine instruktioner, er aftalen obligatorisk uanset hvor ofte behandlingen finder sted.

Vi vurderer roller i en datakæde, udarbejder og gennemgår databehandleraftaler og fælles dataansvarligeaftaler og rådgiver om ansvar efter en hændelse.

Er du usikker på, hvor du står? Fortæl os om din situation. Vi giver dig besked om dine muligheder inden for en arbejdsdag.

Hvordan Law & More kan hjælpe dig med dette, er forklaret på vores IT-advokat .