Vejledning om dataansvarlige og databehandlere

1 Vejledning om dataansvarlige og databehandlere November 2017. 1/25. November 2017. Vejledning om dataansvarlige og databehandlere Indhold 1 Forord _____ 3. 2 Hvad er forskellen p en dataansvarlig og en databehandler? _____ 5. Databeskyttelsesforordningens definitioner af begreberne dataansvarlig og databehandler _____ 5. Hvorfor er det vigtigt at finde ud af, om du er dataansvarlig eller databehandler? 5. 3 Hvad g r man i praksis? _____ 7. Hvad kan du l gge v gt p ved vurderingen af, om du er dataansvarlig eller databehandler? _____ 7. Du kan for det f rste l gge v gt p , hvilke ydelser parterne skal levere 7. Du kan for det andet l gge v gt p , hvem der tr ffer afg relse om form l og hj lpemidler?

2 _____ 9. Liste over udsagn, som du kan l gge v gt p ved din vurdering af, om du er dataansvarlig eller databehandler _____ 11. Hvad skal du v re opm rksom p , n r du har fundet ud af, hvem der er dataansvarlig og databehandler? _____ 12. Hvis du er dataansvarlig og har vurderet, at der er tale om en databehandlerkonstruktion _____ 12. Hvis du er dataansvarlig og har vurderet, at der ikke er tale om en databehandlerkonstruktion _____ 13. Hvis du som databehandler nsker at g re brug af en underdatabehandler _____ 13. 4 S rligt om f lles dataansvar _____ 15. 5 Yderligere eksempler, der kan bruges som inspiration ved vurderingen af, om du er dataansvarlig eller databehandler _____ 17.

3 Eksempler hvor du og andre parter er selvst ndigt dataansvarlige for forskellige behandlinger _____ 17. Andre eksempler _____ 20. 6 Opsummering _____ 24. 2/25 Vejledning om dataansvarlige og databehandlere 1 Forord N r du som privat virksomhed, offentlig myndighed, fysisk person, institution eller ethvert andet organ behandler ( indsamler, registrerer, videregiver eller sletter) personoplysninger om an- dre personer, er det vigtigt, at du er opm rksom p , hvad din rolle er i forbindelse med behand- lingen. Inden for persondataretten sondres der mellem, om du er henholdsvis dataansvarlig for en be- handling af personoplysninger, eller om du alene fungerer som databehandler for en dataan- svarlig.

4 Det er vigtigt, at du kender din egen rolle i forbindelse med behandlingen, fordi kravene til en dataansvarlig og til en databehandler er forskellige. Hvis de parter, der deltager i en behandling af personoplysninger, er usikre p , hvem der har ansvaret for at leve op til de forskellige regler om databeskyttelse, er der en risiko for, at ingen af parterne p tager sig ansvaret, eller at en part p tager sig et ansvar, som den p g ldende reelt ikke har. Det er s ledes meget vigtigt, at du inden du begynder at behandle personoplysninger . f r afklaret, hvilken rolle du og eventuelle andre parter har i forbindelse med behandlingen. I nogle tilf lde vil rollefordelingen mellem dig og de vrige parter, der behandler personoplysnin- ger, v re let at afklare, fordi der er tale om en klassisk databehandlerkonstruktion, hvor en IT-leverand r udelukkende handler efter instruks og udf rer elektronisk databehandling af per- sonoplysninger for en anden virksomhed eller en myndighed.

5 I andre tilf lde kan det v re langt mere vanskeligt at vurdere, om du handler som dataansvarlig eller databehandler. Denne Vejledning er skrevet som en hj lp til de private virksomheder, offentlige myndigheder, fysiske personer, institutioner og andre organer, som skal vurdere, om de handler som dataan- svarlig eller databehandler, n r de behandler oplysninger om andre personer. Vejledningen indeholder ingen facitliste for fordelingen af ansvaret, men den pr senterer nogle generelle principper, som kan v re nyttige at kende, n r du skal foretage vurderingen. Vejled- ningen indeholder ogs en lang r kke eksempler, der gerne skulle kunne hj lpe dig med at vurdere, om du er dataansvarlig eller databehandler.

6 Eksemplerne er medtaget efter input fra advokater, branche- og interesseorganisationer, der er blevet m dt med tvivlssp rgsm l fra deres klienter og medlemmer. nsker du en n rmere gennemgang af regler og praksis vedr rende begreberne dataansvarlig og databehandler, kan du l se afsnittene , samt kapitel 5 i bet nkning nr. 1565/2017 om databeskyttelsesforordningen og de retlige rammer for dansk lovgivning. Du 3/25 Vejledning om dataansvarlige og databehandlere kan ogs l se Artikel 29-gruppens udtalelse i WP 169 af 16. februar 2010 om begreberne regi- steransvarlig og registerf rer . Udtalelsen kan findes her. 4/25 Vejledning om dataansvarlige og databehandlere 2 Hvad er forskellen p en dataansvar- lig og en databehandler?

7 Databeskyttelsesforordningens definitioner af begreberne dataansvarlig og databehandler I databeskyttelsesforordningen defineres en dataansvarlig og en databehandler s ledes: Efter databeskyttelsesforordningens artikel Efter databeskyttelsesforordningens artikel 4, nr. 7 er en dataansvarlig: 4, nr. 8, er en databehandler: en fysisk eller juridisk person, en offentlig en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet or- myndighed, en institution eller et andet or- gan, der alene eller sammen med andre af- gan, der behandler personoplysninger p . g r, til hvilke form l og med hvilke hj lpe- den dataansvarliges vegne.

8 Midler der m foretages behandling af per- sonoplysninger.. En dataansvarlig er alts den fysiske eller juridiske person, offentlige myndighed mv., der be- stemmer, med hvilke form l personoplysningerne m behandles (form let), og hvordan person- oplysningerne m behandles (hj lpemidlerne), herunder af hvem personoplysningerne m be- handles. En databehandler er derimod en fysisk eller juridisk person, offentlige myndighed mv., der be- handler personoplysninger p vegne af den dataansvarlige . Databehandleren bestemmer i mod- s tning til den dataansvarlige hverken hvordan eller med hvilke form l, der m behandles per- sonoplysninger. Hvorfor er det vigtigt at finde ud af, om du er dataansvarlig eller databe- handler?

9 Det er vigtigt, at du finder ud af, om du er dataansvarlig eller databehandler, fordi kravene til dataansvarlige og databehandlere er forskellige. I udgangspunktet er det nemlig den dataansvarlige , som har ansvaret for, at en behandling af personoplysninger lever op til reglerne i databeskyttelsesforordningen. Som dataansvarlig skal du derfor sikre dig, at du: 5/25 Vejledning om dataansvarlige og databehandlere 1) Har lov til at behandle de oplysninger, som du og dine databehandlere er i besiddelse af (om du har en behandlingshjemmel). 2) Er i stand til at efterlevede registrerede personers rettigheder ( opfylde din oplys- ningspligt eller give den registrerede indsigt).

10 3) F r indberettet eventuelle brud p persondatasikkerheden til Datatilsynet inden for 72. timer. Hvis der er uklarhed om dataansvaret, kan dette f re til, at de personer, der behandles oplysnin- ger om (de registrerede), f r en d rligere beskyttelse. En registreret person vil f sv rt ved at finde ud af, hvem han/hun skal henvende sig til, hvis den p g ldende nsker at ud ve sine rettigheder til at f indsigt, f berigtiget urigtige oplysninger mv. 6/25 Vejledning om dataansvarlige og databehandlere 3 Hvad g r man i praksis? Det er Datatilsynets erfaring, at b de fysiske personer, juridiske personer og offentlige myndighed mv. ofte kan have sv rt ved i praksis at finde ud af, hvorn r de er henholdsvis dataansvarlige og databehandlere for en behandling af personoplysninger.