Dataansvarlig vs Databehandler
Forstå de to centrale roller i GDPR - og hvad forskellen betyder for dit ansvar.
De to roller kort fortalt
Den der bestemmer formålet med behandlingen og hvordanden skal foregå. Den dataansvarlige er "ejeren" af databehandlingen.
Den der behandler data på vegne af den dataansvarlige. Følger instruktioner og har ikke selv bestemt formålet.
Praktiske eksempler
Eksempel 1: Lønadministration
- • Din virksomhed = Dataansvarlig (I bestemmer at medarbejderdata skal behandles til løn)
- • Lønbureauet = Databehandler (De behandler data efter jeres instruks)
Eksempel 2: Nyhedsbrev
- • Din virksomhed = Dataansvarlig (I indsamler emails og bestemmer indholdet)
- • Mailchimp/Campaign Monitor = Databehandler (De sender emails efter jeres instruks)
Eksempel 3: Cloud-hosting
- • Din virksomhed = Dataansvarlig (I uploader kundedata til skyen)
- • AWS/Azure/Google Cloud = Databehandler (De opbevarer jeres data)
Ansvar ved databrud
Ved et databrud har begge parter pligter - men de er forskellige:
| Pligt | Dataansvarlig | Databehandler |
|---|---|---|
| Anmelde til Datatilsynet | ✓ Ja | ✗ Nej |
| Underrette berørte | ✓ Ja | ✗ Nej |
| Underrette dataansvarlig | - | ✓ Ja, straks |
| Dokumentere bruddet | ✓ Ja | ✓ Ja |
Databehandleraftalen (DPA)
Når du bruger en databehandler, skal der indgås en databehandleraftale (DPA - Data Processing Agreement) jf. GDPR Art. 28.
Aftalen skal bl.a. indeholde:
- • Formål og varighed af behandlingen
- • Typer af personoplysninger der behandles
- • Kategorier af registrerede
- • Databehandlerens forpligtelser og rettigheder
- • Sikkerhedsforanstaltninger
- • Brug af underdatabehandlere
- • Bistand ved indsigts- og sletningsanmodninger
Fælles dataansvarlige
Nogle gange bestemmer to parter i fællesskab formål og midler. I så fald er de "fælles dataansvarlige" (Art. 26) og skal lave en aftale om ansvarsfordeling.
Eksempel på fælles dataansvar:
To virksomheder samarbejder om et fælles kundeprogram og deler kundedatabasen. Begge har indflydelse på hvilke data der indsamles og hvordan de bruges.
Tip
Når du dokumenterer et databrud i GDPRdesk, identificerer systemet automatisk om bruddet skete hos jer (dataansvarlig) eller hos en leverandør (databehandler).