Hva betyr behandlingsansvarlig?

Behandlingsansvarlig: Rolle vs Databehandler

Å forstå hva betyr behandlingsansvarlig er avgjørende for virksomheter som håndterer personlig informasjon. Denne rollen innehar det juridiske hovedansvaret for personvern. Ved å avklare ansvarsforholdet unngår man misforståelser og sikrer at sensitive data behandles korrekt. Les videre for å lære mer om hvordan dette ansvaret skiller seg fra andre roller.

Hva betyr behandlingsansvarlig?

Begrepet behandlingsansvarlig refererer til den instansen, enten det er en bedrift, organisasjon eller offentlig etat, som har det overordnede ansvaret for å bestemme formålet med og måten personopplysninger behandles på. Dette er en sentral rolle under personvernforordningen, og det er denne parten som står juridisk ansvarlig for at behandlingen foregår i tråd med gjeldende personvernlovgivning.

For å forstå rollen i praksis, kan vi se på ansvarsområdene. En behandlingsansvarlig definisjon innebærer at man må sikre at det foreligger et gyldig rettslig grunnlag for behandlingen, at informasjonssikkerheten er på et tilfredsstillende nivå, og at de registrertes rettigheter blir ivaretatt. Uten en tydelig behandlingsansvarlig ville det vært umulig å holde noen ansvarlig for hvordan dataene blir håndtert, og det er nettopp dette ansvaret som skal beskytte enkeltpersoners personvern.

Hva er forskjellen på behandlingsansvarlig og databehandler?

Det er fort gjort å blande rollene som behandlingsansvarlig og databehandler, men forskjell på behandlingsansvarlig og databehandler er fundamental for ansvarsfordelingen. Mens den behandlingsansvarlige bestemmer hvorfor og hvordan opplysninger skal samles inn, er databehandleren kun den eksterne aktøren som utfører behandlingen på vegne av den behandlingsansvarlige.

La oss si at en bedrift benytter en ekstern skytjeneste for å lagre ansattdata. Bedriften er her behandlingsansvarlig, mens leverandøren av skytjenesten fungerer som databehandler. Selv om databehandleren teknisk sett håndterer informasjonen, er det fortsatt bedriften som sitter med det juridiske ansvaret for at ansvar ved behandling av personopplysninger blir respektert gjennom hele prosessen.

Hvem er typisk behandlingsansvarlig?

Rollen som behandlingsansvarlig er ofte knyttet til de aktørene som sitter med den faktiske kontrollen over dataene. I arbeidslivet vil arbeidsgiveren alltid være behandlingsansvarlig personvern for de opplysningene som registreres om de ansatte, fra lønnsdetaljer til sykefravær. Dette er et klart eksempel på hvordan rollen fungerer i en profesjonell kontekst.

På samme måte vil en nettbutikk fungere som behandlingsansvarlig for kundene sine når de samler inn navn, adresse og betalingsinformasjon for å fullføre et kjøp. Skoler og universiteter har samme rolle overfor elever og studenter. I realiteten betyr dette at nesten alle virksomheter som behandler personopplysninger i dag, vil inneha rollen som behandlingsansvarlig og dermed også påta seg det lovpålagte ansvaret for personvern.

Sammenligning: Behandlingsansvarlig vs. Databehandler

Forståelse av ansvarsforholdet er kritisk for god compliance. Her er de viktigste forskjellene.

Behandlingsansvarlig

• Bestemmer formål med og midler for behandlingen
• Har det fulle juridiske ansvaret overfor myndigheter og de registrerte
• Sikre lovlig grunnlag og ivareta enkeltpersoners rettigheter

Databehandler

• Utfører behandling utelukkende etter instruks fra behandlingsansvarlig
• Har begrenset ansvar, primært knyttet til egne sikkerhetsforpliktelser
• Behandle data teknisk på vegne av den behandlingsansvarlige

Håndtering av kundedata hos en lokal nettbutikk

En liten nettbutikk, drevet av Håkon i Oslo, begynte å samle inn e-poster for markedsføring uten en klar plan. Han visste ikke hvem som hadde ansvaret da systemet krasjet.

Håkon prøvde først å legge alt ansvaret over på IT-leverandøren sin. Han tenkte at siden de lagret dataene, var det deres sak hvis noe gikk galt med personvernet.

Etter en samtale med en juridisk rådgiver forsto han at som eier av nettbutikken, var han behandlingsansvarlig. Han måtte selv sørge for at kundene fikk riktig informasjon og kunne slette seg fra listen.

Han ryddet opp i rutinene sine på to uker. Nå har han en tydelig personvernerklæring, og han innser at han ikke kan fraskrive seg ansvaret selv om han bruker en ekstern e-posttjeneste.

Denne informasjonen er kun ment som generell veiledning om personvernlovgivning og erstatter ikke juridisk rådgivning. Ved konkrete spørsmål om behandlingsansvar i din virksomhet, bør du kontakte en personvernrådgiver eller juridisk ekspert.