Personuppgiftsansvarig eller personuppgiftsbehandlare: vem är vem enligt GDPR?

Varje GDPR-skyldighet är knuten till en roll. Den personuppgiftsansvarige fastställer ändamålen och medlen för behandlingen; personuppgiftsbiträdet behandlar personuppgifter för den personuppgiftsansvariges räkning och enligt dennes instruktioner. Att fastställa vilken roll en part har är det första steget i varje dataskyddsbedömning, eftersom det avgör vem som måste ha en laglig grund, vem som svarar på förfrågningar från den registrerade, vem som rapporterar ett intrång och vem som är ansvarig.

Testet är faktabaserat, inte kontraktuellt

Att kalla en part för personuppgiftsbehandlare i avtalet gör den inte till en. Det som räknas är vem som faktiskt bestämmer varför uppgifterna behandlas och, i huvudsak, hur. En leverantör som använder uppgifterna för sina egna ändamål – för att förbättra sin produkt, för att bygga en profil, för att marknadsföra till berörda individer – är personuppgiftsansvarig för den behandlingen, oavsett vad avtalet säger.

Typiska personuppgiftsbehandlare: en webbhotellsleverantör, en lönebyrå som agerar strikt enligt instruktioner, en e-postleveranstjänst. Typiska personuppgiftsbehandlare trots att de anlitas av en annan part: en revisor som utför en lagstadgad revision, en advokat som driver ett ärende, en företagshälsovårdstjänst i utförandet av sina egna yrkesuppgifter.

Gemensamma kontroller

Om två parter gemensamt fastställer syften och medel är de gemensamt personuppgiftsansvariga och måste fastställa sina respektive ansvarsområden i ett avtal sinsemellan, särskilt vad gäller den registrerades rättigheter och informationsskyldigheter. Kärnan i detta avtal måste göras tillgängligt för de berörda individerna.

Gemensam kontroll uppstår oftare än organisationer förväntar sig: delade plattformar, gemensamma kampanjer och sidor på sociala medier har alla behandlats som gemensamt registeransvarigt. En registrerad person kan utöva sina rättigheter mot endera den gemensamt registeransvarige oavsett den interna fördelningen.

Behandlingsavtalet

När ett personuppgiftsbiträde anlitas är ett skriftligt avtal obligatoriskt, och dess innehåll föreskrivs: föremål och varaktighet, art och syfte, datatyper och kategorier av registrerade, den personuppgiftsansvariges instruktioner, sekretess, säkerhetsåtgärder, villkor för att anlita underpersonuppgiftsbiträden, bistånd med förfrågningar från registrerade och anmälan av intrång, vad som händer med uppgifterna i slutändan och granskningsrättigheter.

Två klausuler orsakar mest problem i praktiken. Underbehandling: generellt skriftligt godkännande är tillåtet, men personuppgiftsbiträdet måste informera den personuppgiftsansvarige om avsedda ändringar och ge denne möjlighet att invända. Och återlämnande eller radering i slutet: överenskommelse om vilket, och i vilket format, innan relationen upphör snarare än under en tvist.

Ansvar

En registeransvarig är ansvarig för skada som orsakats av behandling som strider mot förordningen. En registerförare är endast ansvarig om denne inte har uppfyllt skyldigheter som specifikt riktats mot registerförare, eller har agerat utanför eller i strid med lagliga instruktioner. Om båda är inblandade i samma behandling kan var och en hållas ansvarig för hela skadan gentemot den enskilde, med regress mellan dem i efterhand – vilket är anledningen till att det är värt att förhandla ordentligt om ersättningsbestämmelserna i ett registerföraravtal.

Råd

Vi utvärderar roller i en datakedja, utarbetar och granskar personuppgiftsbiträdesavtal och gemensamma personuppgiftsansvariga samt ger råd om ansvar efter en incident. Vänligen kontakta oss. Law & More.