Innehållsförteckning
Ansvarig kontra biträde
Den som behandlar personuppgifter för någon annans räkning enligt instruktioner är personuppgiftsbiträde. Ansvarig och biträde ska ha ett skriftligt biträdesavtal. Den personuppgiftsansvarige ansvarar ytterst för att behandlingen är laglig, att information ges till de registrerade och att rättigheter kan utövas. Biträdet ska bistå och får normalt inte använda uppgifterna för egna ändamål.
Gemensamt personuppgiftsansvar
Om två eller flera organisationer gemensamt bestämmer ändamål och medel är de gemensamt personuppgiftsansvariga. Då ska de på ett transparent sätt fastställa sina respektive skyldigheter, särskilt vad gäller information till de registrerade. Integritetsskyddsmyndigheten (IMY) och Europeiska dataskyddsstyrelsen (EDPB) har vägledning om hur gränsen dras i praktiken.
Skyldigheter i praktiken
Den personuppgiftsansvarige ska bland annat ha rättslig grund, minimera uppgiftsmängden, skydda uppgifterna tekniskt och organisatoriskt, anmäla vissa personuppgiftsincidenter till IMY och i vissa fall utse dataskyddsombud. Vid överföring utanför EU/EES krävs särskilda skyddsåtgärder. Relaterat: säkerhet för personuppgifter och skyldigheter för dem som behandlar personuppgifter.
Vem ska de registrerade vända sig till?
Den registrerade utövar sina rättigheter (tillgång, rättelse, radering med mera) mot den personuppgiftsansvarige. På webbplats och i integritetspolicy ska det framgå vem som är ansvarig och hur man kommer i kontakt. Hogmalms Media anges till exempel som personuppgiftsansvarig i expowera.se:s integritetspolicy – varje verksamhet ska namnge sin egen ansvarige.
Dokumentation och ansvarskedja
Den personuppgiftsansvarige bör ha register över behandlingar, rutin för incidenter och tydliga instruktioner till personal och biträden. Anlitas molntjänster eller byråer: säkerställ biträdesavtal och att underbiträden är kända. Vid gemensamt ansvar – till exempel samarbeten mellan bolag i samma koncern – skriv ner hur informationskrav och registrerades rättigheter hanteras så att den enskilde vet vem som är kontaktpunkt.
Sanktioner vid överträdelser kan vara kännbara, men lika viktigt är förtroendet hos kunder och medarbetare. En klar ansvarsfördelning minskar risken för att “alla tror att någon annan” sköter GDPR-frågorna. Relaterat material: vägledning till personuppgiftsbiträden.