Er du dataansvarlig eller databehandler?
Når du f.eks. som privat virksomhed behandler personoplysninger - ved f.eks. at indsamle, registrere, videregiver eller sletter personoplysninger - om andre personer, skal du vide, om du i den sammenhæng enten er dataansvarlig eller databehandler. Kravene til hhv. en dataansvarlig og en databehandler er nemlig forskellige.
Når du f.eks. som privat virksomhed behandler personoplysninger - ved f.eks. at indsamle, registrere, videregiver eller sletter personoplysninger - om andre personer, skal du vide, om du i den sammenhæng enten er dataansvarlig eller databehandler. Kravene til hhv. en dataansvarlig og en databehandler er nemlig forskellige.
Er du dataansvarlig, skal du indgå en databehandleraftale.
En databehandleraftale, som skal indgås skriftligt, skal blandt andet indeholde oplysninger om genstanden for og varigheden af behandlingen, behandlingens karakter og formål, karakteren af de personoplysninger, der skal behandles, dine forpligtelser og rettigheder som dataansvarlig og de forpligtelser, som databehandleren har i forbindelse med databehandlingen af personoplysningerne.
Du får her en række gode råd til, hvordan du finder ud af, om du er dataansvarlig eller databehandler.
Hvad lægges der vægt på ved vurderingen af, om du er dataansvarlig eller databehandler?
Først og fremmest skal du finde ud af, om der er tale om en databehandlerkonstruktion, herunder hvilken ydelse der skal leveres.
Her kan du skelne mellem, om der er tale om en aftale, der helt eller delvist går ud på, at den anden part skal behandle personoplysninger, eller om der primært er tale om levering af andre ydelser som f.eks. en håndværksmæssig ydelse.
Ved en aftale med en tømrer om opsætning af vindue, er det eksempelvis nødvendigt for tømreren at kende adressen på kunden, for at kunne sætte vinduet op. Men aftalen, der er indgået, omhandler ikke behandling af personoplysninger, men derimod opsætning af vindue, og der er derfor ikke tale om en databehandlerkonstruktion.
Vedrører aftalen derimod helt eller delvist behandling af personoplysninger, f.eks. hosting af virksomhedens data eller lønkørsel, er der tale om en databehandlerkonstruktion, hvor ydelsen, der skal leveres, går ud på, at den ene part skal behandle personoplysninger på vegne af den anden part.
Finder du ud af, at der er tale om en databehandlerkonstruktion, skal du dernæst lægge vægt på, hvem der bestemmer formålet med behandlingen af personoplysninger, samt hvordan personoplysningerne må behandles.
Udgangspunktet er, at den dataansvarlige er den fysiske eller juridiske person, som alene eller sammen med andre afgør til hvilke formål og med hvilke hjælpemidler, der må foretages behandling af personoplysninger.
En databehandler er derimod den fysiske eller juridiske person (andre end medarbejdere fra den dataansvarlige), som behandler personoplysninger på vegne af den dataansvarlige.
I nedenstående skema er der indsat nogle udsagn, som kan hjælpe dig med at finde ud af, om du er databehandler eller dataansvarlig.
|
Faktorer som indikerer, at du skal anses for at være dataansvarlig |
|
Faktorer som indikerer, at du skal anses for at være databehandler |
|
Du opnår en fordel ved – eller har en interesse i – behandlingen af personoplysninger. |
|
Du behandler personoplysningerne til den anden parts formål og på baggrund af en dokumenteret instruks. |
|
Aftalen eller en del af aftalen mellem dig og en anden part indeholder en direkte eller indirekte instruks om behandling af personoplysninger. |
|
Den anden part fører tilsyn med, at du i forbindelse med behandlingen af personoplysningerne efterlever instruksen og aftalebetingelserne. |
|
Det er alene dig, der træffer afgørelse om formål og væsentlige hjælpemidler, herunder behandlingsskridt som indsamling, videregivelse, sletning og anvendelse af underdatabehandlere. |
|
Du har intet eget formål med behandlingen af personoplysningerne andet end at kunne levere den ydelse, som kunden betaler for. |
|
De personer, der behandles oplysninger om, har en klar forventning om, at du er ansvarlig for behandlingen. |
|
|
|
Du kan kræve oplysningerne tilbageleveret eller slettet hos den anden part, hvis du ikke længere ønsker, at den anden part skal behandle oplysningerne. |
|
|
Artiklen er udarbejdet af vores samarbejdspartner Selskabsadvokaterne.