Når foreligger det et databehandleroppdrag?

Når foreligger et databehandleroppdrag? – En avklaring

I en stadig mer digitalisert verden er behandlingen av personopplysninger en sentral del av mange virksomheters drift. For å sikre at denne behandlingen skjer på en lovlig og sikker måte, er det viktig å forstå skillet mellom dataansvarlig og databehandler. En misforståelse her kan føre til brudd på personvernlovgivningen, og dermed betydelige konsekvenser. Denne artikkelen avklarer når et databehandleroppdrag foreligger.

Kort fortalt foreligger et databehandleroppdrag når en virksomhet, databehandleren, behandler personopplysninger på vegne av en annen virksomhet, dataansvarlig. Dette betyr at databehandleren ikke selv bestemmer hvorfor opplysningene behandles, men kun hvordan behandlingen skal utføres. Forholdet er et av avhengighet, hvor databehandleren er underlagt instruksene fra dataansvarlig.

Hvilke oppgaver definerer et databehandleroppdrag?

Et databehandleroppdrag omfatter en rekke ulike oppgaver, men kjernen er alltid den samme: behandling av personopplysninger på vegne av dataansvarlig. Eksempler inkluderer:

• Lagring av data: Dette kan være lagring av kundeopplysninger i en skytjeneste, eller lagring av personopplysninger i et databasesystem.
• Arkivering av data: Sikker og forsvarlig arkivering av personopplysninger i henhold til dataansvarligs instrukser og gjeldende lovverk.
• Prosessering av data: Dette kan omfatte alt fra sortering og filtrering av data, til analyse og rapportering.
• Overføring av data: Sikker overføring av personopplysninger mellom ulike systemer eller lokasjoner.
• Sikkerhetstiltak: Implementering og vedlikehold av sikkerhetstiltak for å beskytte personopplysningene mot uautorisert tilgang, tap eller ødeleggelse.

Hva skiller databehandleren fra dataansvarlig?

Det avgjørende skillet ligger i kontroll over formålet med behandlingen. Dataansvarlig bestemmer hvorfor personopplysningene samles inn og behandles. Dette kan for eksempel være for å tilby en tjeneste, gjennomføre markedsføring eller oppfylle et lovkrav. Databehandleren, derimot, har kun kontroll over hvordan behandlingen utføres, i samsvar med dataansvarligs instruksjoner.

Eksempler på databehandleroppdrag:

• En nettbutikk bruker en tredjeparts leverandør til å lagre kundedata. Nettbutikken (dataansvarlig) bestemmer hvorfor dataene samles inn, mens leverandøren (databehandler) håndterer den tekniske hvordan.
• Et sykehus bruker en ekstern leverandør til å arkivere pasientopplysninger. Sykehuset (dataansvarlig) bestemmer hvorfor opplysningene arkiveres, mens leverandøren (databehandler) utfører den praktiske hvordan.
• Et regnskapsfirma behandler lønnsdata for en bedrift. Bedriften (dataansvarlig) bestemmer hvorfor lønnsdataene samles inn, mens regnskapsfirmaet (databehandler) utfører den nødvendige hvordan.

Å forstå skillet mellom dataansvarlig og databehandler er avgjørende for å overholde personvernregelverket. En klar avtale mellom partene, som tydelig definerer ansvarsfordelingen og behandlingsaktivitetene, er derfor helt nødvendig for å sikre en lovlig og sikker behandling av personopplysninger. Tvetydighet her kan føre til alvorlige konsekvenser. Ved tvil bør man søke juridisk rådgivning.

#Databehandling #Oppdrag #Personvern