Personuppgiftsansvarig eller personuppgiftsbehandlare enligt GDPR: hur man avgör vem som är vem

En personuppgiftsansvarig avgör varför och hur personuppgifter behandlas; ett personuppgiftsbiträde behandlar personuppgifter endast enligt den personuppgiftsansvariges dokumenterade instruktioner (artikel 4(7) och (8) i GDPR). Din roll följer fakta, inte etiketten i avtalet, och den avgör vem som behöver en laglig grund, vem som svarar på den registrerades förfrågningar, vem som rapporterar ett intrång och vem som är ansvarig om något går fel.

Hur skiljer man en kontroller från en processor?

Fråga vem som bestämmer varför uppgifterna behandlas och, i huvudsak, hur. En registeransvarig fastställer ändamålet och de väsentliga medlen för behandlingen; en registerförare agerar endast enligt den registeransvariges dokumenterade instruktioner och använder inte uppgifterna för sina egna ändamål.

Typiska personuppgiftsbehandlare: en webbhotellsleverantör, en lönebyrå som agerar strikt enligt instruktioner, en e-postleveranstjänst. Typiska personuppgiftsansvariga, även om de anlitats av en annan part: en revisor som utför en lagstadgad revision, en advokat som driver ett ärende, en företagshälsovårdstjänst (arbodienst) som utövar sina egna yrkesuppgifter.

Avgör kontraktet din roll?

Nej. Att du kallar dig personuppgiftsbehandlare i avtalet gör dig inte till det. Om en leverantör använder uppgifterna för egna ändamål, såsom att förbättra sin produkt, bygga profiler eller marknadsföra till berörda individer, är den personuppgiftsansvarig för den behandlingen. Artikel 28(10) i GDPR säger det uttryckligen: en personuppgiftsbehandlare som fastställer ändamålen och medlen behandlas som personuppgiftsansvarig.

Vad händer om du och en annan part gemensamt bestämmer syftena?

Ni är då gemensamt personuppgiftsansvariga enligt artikel 26 i GDPR. Ni måste ange era ansvarsområden i ett avtal, särskilt vad gäller den registrerades rättigheter och informationsskyldigheterna enligt artiklarna 13 och 14, och göra innehållet i avtalet tillgängligt för de berörda personerna.

Gemensam kontroll uppstår oftare än organisationer förväntar sig. I Wirtschaftsakademie (C-210/16, 5 juni 2018) behandlade EU-domstolen administratören av en Facebook-fansida som en gemensamt registeransvarig med Facebook. Enligt artikel 26(3) i GDPR kan en registrerad utöva sina rättigheter mot endera gemensamt registeransvarig, oavsett vad ni har kommit överens om internt.

Vad måste ett personuppgiftsavtal innehålla?

Om du anlitar ett personuppgiftsbiträde är ett skriftligt avtal obligatoriskt enligt artikel 28(3) och (9) i GDPR, och dess innehåll är föreskrivet. Det måste omfatta behandlingens föremål och varaktighet, dess art och syfte, typer av uppgifter och kategorier av registrerade samt dina instruktioner som personuppgiftsansvarig.

Det måste också omfatta sekretess, säkerhetsåtgärder enligt artikel 32, villkoren för att anlita underbiträden, hjälp med förfrågningar från registrerade och anmälan om intrång, återlämnande eller radering av uppgifterna i slutet av processen samt dina granskningsrättigheter.

Var börjar tvister vanligtvis?

Två klausuler orsakar mest problem. När det gäller underleverantörsbehandling tillåter artikel 28(2) i GDPR ett generellt skriftligt godkännande, men personuppgiftsbiträdet måste informera dig om avsedda ändringar och ge dig möjlighet att invända. Vid retur eller radering, kom överens om vilken av de två som gäller, och i vilket format, innan relationen upphör snarare än under en tvist.

Anmälan om intrång är en tredje påtryckningspunkt. Personuppgiftsbehandlaren måste informera dig utan onödigt dröjsmål (artikel 33(2)); du har sedan 72 timmar på dig att anmäla detta till den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens) enligt artikel 33(1). Kom överens om en kort intern tidsfrist för personuppgiftsbehandlaren, till exempel 24 eller 48 timmar.

Vem är ansvarig om behandlingen går fel?

Enligt artikel 82(2) i GDPR är du som registeransvarig ansvarig för skada som orsakas av behandling som strider mot GDPR. En personuppgiftsbehandlare är endast ansvarig om denne inte har uppfyllt de skyldigheter som GDPR specifikt ålägger personuppgiftsbehandlare, eller har agerat utanför eller i strid med dina lagliga instruktioner.

Om ni båda är inblandade i samma behandling och ansvariga för skadan, kan var och en hållas ansvarig för hela skadan gentemot individen (artikel 82(4)). Den part som betalade kan i efterhand återkräva den andra partens andel (artikel 82(5)), vilket är anledningen till att det är värt att förhandla noggrant om ersättningsklausulen i ett behandlingsavtal.

Vad bör man kontrollera som kontrollant?

• Huruvida varje leverantör som hanterar personuppgifter åt dig har undertecknat ett behandlingsavtal som uppfyller artikel 28(3).
• Huruvida någon leverantör använder uppgifterna för sina egna ändamål, vilket gör dem till registeransvariga.
• Om ni har en lista över underleverantörer och en procedur för att invända mot ändringar.
• Huruvida personuppgiftsbehandlaren måste rapportera intrång till dig inom ett fastställt antal timmar.
• Oavsett om ni har gemensamma personuppgiftsöverenskommelser för delade plattformar eller kampanjer.

Vad bör du kontrollera som processor?

• Huruvida du endast använder kunddata enligt dokumenterade instruktioner och inte för din egen produkt eller analys.
• Huruvida dina underleverantörer är bundna av samma skyldigheter som du.
• Om du kan returnera eller radera data i det överenskomna formatet i slutet av avtalet.
• Huruvida ert ansvarstak och ersättningskrav återspeglar det begränsade ansvaret enligt artikel 82(2).

Vad kan vi göra för er med rollerna personuppgiftsansvarig och personuppgiftsbiträde?

Genom vår IT-juristpraktik kan vi hjälpa dig med bland annat:

• Vi kartlägger rollerna för varje part i er datakedja, per behandlingsaktivitet.
• Vi utarbetar och granskar personuppgiftsbiträdesavtal och gemensamma personuppgiftsbiträdesavtal.
• Vi förhandlar om underleverantörsbehandling, intrångsmeddelanden och ansvarsklausuler.
• Vi ger råd om ansvar och regressrätt mellan parterna efter ett dataintrång.
• Vi förbereder ditt svar på frågor från Autoriteit Persoonsgegevens.

Sammanfattning

• Din roll följer fakta, inte etiketten i ditt avtal: den som bestämmer syftet och de väsentliga medlen är registeransvarig.
• Om ni gemensamt bestämmer ändamålen med en annan part är ni gemensamt personuppgiftsansvariga och måste registrera er ansvarsfördelning (artikel 26 GDPR).
• Ett skriftligt personuppgiftsbiträdesavtal med innehållet i artikel 28(3) GDPR är obligatoriskt när du anlitar ett personuppgiftsbiträde.
• Personuppgiftsbehandlaren rapporterar ett dataintrång till dig utan onödigt dröjsmål; du meddelar Autoriteit Persoonsgegevens inom 72 timmar.
• Båda parter kan vara ansvariga för hela skadan gentemot individen, så förhandla om ersättningsklausulen innan du skriver under.

Vanliga frågor och svar