Behandlingsansvarlig og databehandler etter GDPR: hvem er hvem?

To roller, to ansvarsnivåer

Den behandlingsansvarlige bestemmer formålet med behandlingen og hvilke midler som tas i bruk. I en liten bedrift er det virksomheten selv som er behandlingsansvarlig, ikke den ansatte som utfører oppgaven. Delegerer du personvernarbeidet til en medarbeider, er det fortsatt virksomheten som står ansvarlig utad.

Databehandleren er en ekstern part som behandler personopplysninger på dine vegne. Du ser ofte det engelske uttrykket gdpr data processor om samme rolle. Databehandleren skal bare behandle opplysningene etter instruks fra deg, og har i tillegg egne plikter, blant annet på sikkerhet og på å si fra om avvik.

Forskjellen har praktiske konsekvenser. Den behandlingsansvarlige kan instruere databehandleren, og det er den behandlingsansvarlige som svarer overfor de registrerte og overfor Datatilsynet for at behandlingen er lovlig. En samlet oversikt over pliktene finner du i Regler for nettsider og netthandel: komplett guide for bedrifter.

Slik avgjør du rollen i praksis

Rollen følger av hvem som faktisk bestemmer, ikke av hvem som eier serveren eller har utviklet programvaren. To leverandører kan ha nesten identisk teknologi og likevel havne i ulike roller, fordi det er beslutningene rundt behandlingen som teller.

En databehandler har rom til å velge praktiske og tekniske løsninger innenfor oppdraget, uten at dette alene gjør vedkommende behandlingsansvarlig. Frihet til å konfigurere er ikke det samme som frihet til å bestemme formålet med behandlingen.

Noen ganger er to parter felles behandlingsansvarlige for samme behandling. Det kan også være slik at en leverandør er behandlingsansvarlig for egne formål og databehandler for det den gjør på dine vegne. Før derfor rollene opp per tjeneste, ikke per firma.

En enkel test: Hvem bestemmer hvorfor opplysningene samles inn? Hvem bestemmer hva som lagres, og hvor lenge? Hvem kan instruere den andre om sletting? Svarene peker på den behandlingsansvarlige. Er du i tvil om egen rolle, er veiledningen fra Datatilsynet et godt utgangspunkt.

Databehandleravtalen: hva den må dekke

Når en leverandør behandler personopplysninger på dine vegne, skal forholdet reguleres i en databehandleravtale. Kravet står i personvernforordningen artikkel 28, og avtalen skal beskrive behandlingen og hvilke plikter hver part har.

En brukbar avtale sier noe om at behandling bare skjer etter instruks, om konfidensialitet for personer med tilgang, om sikkerhetstiltak, om bruk av underleverandører, om bistand til deg ved forespørsler fra registrerte og ved avvik, og om at opplysningene slettes eller returneres når oppdraget opphører. Den skal også gi deg nok informasjon til å kunne føre tilsyn.

Mange leverandører tilbyr en standardavtale. Den gir ikke automatisk dekning for dine plikter, og du må undersøke om vilkårene faktisk oppfyller regelverket. Et klassisk eksempel: en nettbutikk som godtar at en analyseleverandør lagrer opplysninger lenger enn nødvendig, har selv ansvaret for lovbruddet, selv om det er leverandøren som foreslo ordningen.

Databehandleren skal omgående underrette deg dersom den mener at en instruks er i strid med personvernreglene. Får du en slik melding, må du behandle den som et varsel om at noe i oppsettet ditt bør endres.

Tilsyn, dokumentasjon og oppfølging

Du skal ikke bare inngå avtaler, du skal kunne vise at du har valgt forsvarlig og at du følger opp. Lag en enkel oversikt over leverandører som ser personopplysninger, hva de gjør for deg, hvilken rolle de har, og hvor avtalen ligger lagret.

Før tilsyn i praksis: be om oppdatert dokumentasjon ved nye tjenester, følg med på endringer i underleverandører, og ta opp konkrete temaer ved gjennomgang, som lagringstid, tilgangsstyring og hvordan avvik varsles. Skriv ned hva du kom frem til, også når konklusjonen er at alt er i orden.

Avtal hvordan hendelser meldes mellom partene. Databehandleren må kunne varsle deg raskt nok til at du kan oppfylle egne plikter, og det bør stå hvem som kontakter hvem. Lagringstid er et typisk punkt der du må ta stilling selv, se Lagringstid etter GDPR: hvor lenge kan du lagre data? og Sletting og makulering av personopplysninger etter GDPR.

Typiske situasjoner i små bedrifter

Nettbutikk: plattform, betalingsløsning, frakt og e-postmarkedsføring er normalt databehandlere, mens du er behandlingsansvarlig for kundeopplysningene. Noen av dem er likevel behandlingsansvarlige for egne formål. Sjekk rollene tjeneste for tjeneste, og ikke bare i den ene avtalen du fikk tilsendt.

Håndverker og lokal tjenestebedrift: kalender, fakturaprogram, regnskap og SMS-varsling berører kundeopplysninger, og det samme gjør et bestillingsskjema på egen nettside. Bruker du sporings- eller analyseverktøy, må du også ha kontroll på samtykke, se Informasjonskapsler på nettsiden: dette sier reglene.

Del du opplysninger med samarbeidspartnere, må du vite om du er behandlingsansvarlig, felles behandlingsansvarlig, eller om mottakeren behandler for deg. Datadeling etter GDPR: hva er lov? går gjennom vurderingene. Nettsaga lager nettsider for små bedrifter der skjemaer, informasjonskapsler og personverninformasjon er satt opp med tydelige roller. Vil du se hvordan det ser ut, kan du book en demo.

Vanlige spørsmål

Hva vil det si å være behandlingsansvarlig etter GDPR?

Det betyr at virksomheten din bestemmer hvorfor og hvordan personopplysninger behandles, og at du svarer for at behandlingen er lovlig. Du kan bruke databehandlere til å utføre arbeidet, men du beholder ansvaret utad overfor de registrerte og Datatilsynet.

Er jeg behandlingsansvarlig eller databehandler når jeg bruker en nettbutikkplattform?

Du er normalt behandlingsansvarlig for kundeopplysningene, mens plattformen er databehandler. Plattformen kan samtidig være behandlingsansvarlig for egne formål. Vurder rollen per tjeneste, ikke per leverandør.

Må jeg ha databehandleravtale med alle leverandører?

Du trenger avtalen der leverandøren behandler personopplysninger på dine vegne og får tilgang til dem. Får leverandøren ingen tilgang til personopplysninger, er det normalt ikke et databehandlerforhold. Er du usikker, dokumenter vurderingen.

Kan en databehandler også være behandlingsansvarlig?

Ja. En leverandør kan være databehandler for oppdraget den utfører for deg, og behandlingsansvarlig for egne formål, for eksempel egne kunde- eller regnskapsforhold. Det er derfor rollen må knyttes til den enkelte behandlingen.

Hvem har ansvaret hvis databehandleren mister data?

Den behandlingsansvarlige svarer utad for behandlingen, men databehandleren har egne plikter etter regelverket og etter avtalen. Avtal derfor på forhånd hvordan avvik varsles, hvem som kontakter hvem, og hvordan hendelsen følges opp.