Hvem kan være behandlingsansvarlig?

Hvem har det juridiske ansvaret?

Å forstå hvem kan være behandlingsansvarlig er avgjørende for å unngå alvorlige økonomiske konsekvenser og ulovlig deling av sensitive data i virksomheten. Riktig rolleforståelse sikrer at personvernet blir forankret helt oppe i styrerommet fra første dag.

Hva betyr behandlingsansvarlig etter personvernregelverket?

Rollen som behandlingsansvarlig kan innehas av en fysisk eller juridisk person, som for eksempel et lite selskap, en offentlig etat, et selskap, en organisasjon eller en forening. Det er denne parten som definerer formålet med og midlene for behandlingen av data. Konseptet kan virke teoretisk, men det har enorme praktiske og juridiske konsekvenser for daglig drift.

Forståelsen av hvem som har denne rollen avhenger helt av hvem som faktisk tar beslutningene, ikke hvem som eier den fysiske serveren eller leverer programvaren. Mange ledere antar feilaktig at ansvaret automatisk overføres hvis man flytter dataene over til en ekstern skytjeneste. Sannheten er en helt annen.

Når en virksomhet bestemmer hvorfor personopplysninger skal samles inn - for eksempel for å sende ut nyhetsbrev til kunder eller registrere ansattes arbeidstid - sitter virksomheten med det overordnede juridiske ansvaret. Europeiske tilsynsmyndigheter har de siste årene trappet opp sanksjonene dramatisk, og det ble utstedt gebyrer for over 1,2 milliarder euro på europeisk nivå i en nylig tolvmånedersperiod^[1] e. Dette viser hvor kritisk det er å ha kontroll på rollene fra første dag.

Hvem bærer risikoen internt: Styret eller daglig leder?

Det juridiske ansvaret for brudd på personvernforordningen (GDPR) plasseres hos selve virksomheten som juridisk enhet, ikke hos enkeltpersoner i administrasjonen. Men her oppstår det ofte forvirring internt om hvem som må sørge for at kravene faktisk etterleves i hverdagen.

Styret har det overordnede forvaltningsansvaret og må påse at det finnes tilstrekkelige rutiner og internkontroll. Daglig leder har på sin side ansvaret for den praktiske gjennomføringen og at rutinene følges opp av de ansatte. Hvis kontrollen svikter, kan konsekvensene bli ekstremt kostbare for selskapets økonomi.

Nasjonale tilsynsmyndigheter har myndighet til å ilegge overtredelsesgebyrer på opptil 20 millioner euro eller 4 prosent av den globale årsomsetningen for de mest alvorlige bruddene. I det norske markedet har vi sett eksempler på at enkeltgebyrer har strukket seg opp til 65 millioner kroner for ulovlig deling av sensitive data.^[3] Slike summer kan lamme en virksomhet fullstendig, noe som understreker at personvern må forankres helt oppe i styrerommet.

Forskjell på behandlingsansvarlig og databehandler

Den behandlingsansvarlige bestemmer formålet og midlene, mens en databehandler utelukkende behandler personopplysninger på vegne av og etter instrukser fra den behandlingsansvarlige. Dette skillet er fundamentalt for å unngå alvorlige avvik og sanksjoner.

I min tid som rådgiver har jeg sett utallige selskaper snuble i denne definisjonen. Mange tror at en ekstern IT-leverandør automatisk blir behandlingsansvarlig fordi de designer systemet. Min erfaring er at denne misforståelsen skaper farlige blindsoner i sikkerhetsarbeidet.

Det er relasjonen og beslutningsmyndigheten som avgjør rollen. Hvis leverandøren din ikke kan bruke opplysningene til egne formål, er de kun en databehandler. Dette forholdet må alltid reguleres gjennom en skriftlig databehandleravtale før overføringen av data starter.

Sjekkliste: Er du behandlingsansvarlig eller databehandler?

Når du skal vurdere din egen rolle i et prosjekt eller et samarbeid, kan du bruke en enkel beslutningsmatrise basert på tre kjernespørsmål. Hvis du svarer ja på ett eller flere av disse punktene, er du etter all sannsynlighet behandlingsansvarlig: Formålsdefinisjon: Er det din virksomhet som har bestemt hvorfor innsamlingen av personopplysninger i det hele tatt er nødvendig?

Lovlig grunnlag: Er det ditt ansvar å sørge for at dere har samtykke, en avtale eller et annet gyldig rettslig grunnlag for å behandle opplysningene? Datakontroll: Bestemmer du hvilke spesifikke opplysninger som skal samles inn, hvor lenge de skal lagres, og hvem som skal ha tilgang til dem?

Hvis du derimot kun mottar ferdige datasett og utfører analyser, lagring eller support strengt etter kundens skriftlige retningslinjer, opptrer du som en ren databehandler. Å trå feil her betyr at du risikerer å bryte loven uten engang å vite om det.

Hva er felles behandlingsansvarlig og når gjelder det?

Når to eller flere parter i fellesskap fastsetter formålet med og midlene for behandlingen av personopplysninger, foreligger det et felles behandlingsansvar. Dette oppstår ofte i samarbeidsprosjekter, felles markedsføringskampanjer eller ved deling av felles IT-infrastruktur.

Når man går inn i et slikt partnerskap, krever regelverket at partene inngår en klar og gjennomsiktig avtale som definerer hvem som gjør hva. Dette inkluderer hvem som skal svare på innsynskrav fra kundene, og hvordan informasjonstyringen skal foregå i praksis.

Det som overrasker mange partnere, er det solidariske erstatningsansvaret overfor de registrerte personene. Hvis en sikkerhetsbrist oppstår på grunn av slurv hos den ene parten, kan den fornærmede kunden kreve full erstatning fra hvem som helst av de involverte bedriftene. Det betyr at du kan ende opp med å betale for en samarbeidspartners feil, noe som krever ekstrem aktsomhet ved valg av partnere.

Sammenligning av roller i personvernretten

For å sikre etterlevelse av personvernforordningen må enhver virksomhet forstå sin nøyaktige posisjon. Her er de tre sentrale rollene satt opp mot hverandre.

Behandlingsansvarlig

Bestemmer selvstendig hvorfor og hvordan personopplysninger skal håndteres

Må inngå skriftlige databehandleravtaler med alle eksterne leverandører som behandler data

Bærer det overordnede ansvaret utad overfor tilsynsmyndighetene og de registrerte

Databehandler

Behandler opplysninger kun på oppdrag og instruks fra den behandlingsansvarlige

Kan ikke bruke dataene til egne formål og må følge instrukser slavisk

Ansvarlig for egen informasjonssikkerhet og pliktig til å varsle om avvik

Felles behandlingsansvarlig

To eller flere virksomheter som bestemmer formål og midler sammen

Krever en gjennomsiktig og skriftlig avtale som fordeler det praktiske ansvaret

Solidarisk ansvarlig overfor de registrerte, der begge kan stilles til ansvar

E-handelsgründerens tøffe lærdom: Fra kaos til kontroll på rollene

Kristian, en ambisiøs e-handelsgründer fra Oslo, opplevde en kraftig omsetningsvekst for sin nettbutikk i løpet av våren. Midt i travelheten valgte han å outsource hele kundesupporten og ordrehåndteringen til et eksternt byrå for å avlaste teamet sitt.

Første forsøk gikk galt da Kristian antok at supportbyrået automatisk overtok alt juridisk ansvar for kundenes personopplysninger. Han droppet å sette opp en formell databehandleravtale, overbeviste seg selv om at byrået var en selvstendig part, og sendte over hele kundedatabasen uten kryptering.

Det tok tre uker før krisen traff nettbutikken da en supportmedarbeider feilsendte en Excel-liste med sensitive adresseopplysninger til feil mottaker. Kristian innså i panikk under avvikshåndteringen at hans bedrift fremdeles var behandlingsansvarlig, og at mangelen på avtale utgjorde et alvorlig lovbrudd.

Etter intens jobbing og juridisk bistand fikk Kristian på plass en solid databehandleravtale innen tretti dager. Hendelsen ble meldt til Datatilsynet som et avvik, og selv om de slapp unna overtredelsesgebyr denne gangen, lærte Kristian at definisjonen av behandlingsansvarlig aldri kan outsources.