Innehållsförteckning
Den personuppgiftsansvariges skyldigheter
Den personuppgiftsansvarige ska se till att all behandling följer dataskyddsförordningens principer – laglighet, korrekthet och öppenhet, ändamålsbegränsning, uppgiftsminimering, riktighet, lagringsminimering samt integritet och konfidentialitet – och ska kunna visa att den gör det (artikel 5, så kallad ansvarsskyldighet). I praktiken innebär det bland annat att
- ha en rättslig grund för varje behandling (artikel 6) och iaktta särskilda regler för känsliga personuppgifter (artikel 9),
- informera de registrerade och hjälpa dem att utöva sina rättigheter, till exempel rätten till tillgång, rättelse och radering (artiklarna 12–22),
- vidta lämpliga tekniska och organisatoriska åtgärder och ha dataskydd inbyggt och som standard (artiklarna 24–25),
- bara anlita biträden som ger tillräckliga garantier, och reglera uppdraget i ett biträdesavtal (artikel 28),
- föra register över behandlingar (artikel 30),
- anmäla personuppgiftsincidenter till Integritetsskyddsmyndigheten (IMY) inom 72 timmar, om det inte är osannolikt att incidenten medför en risk för de registrerade, och i vissa fall informera de registrerade (artiklarna 33–34),
- göra en konsekvensbedömning innan behandling som sannolikt innebär hög risk (artikel 35).
Personuppgiftsbiträdets skyldigheter
Dataskyddsförordningen lägger även direkta skyldigheter på biträden. Ett biträde får bara behandla personuppgifterna enligt den ansvariges dokumenterade instruktioner (artiklarna 28–29). Biträdet ska bland annat
- se till att de som behandlar uppgifterna har tystnadsplikt,
- vidta säkerhetsåtgärder enligt artikel 32,
- bara anlita underbiträden med den ansvariges tillstånd,
- bistå den ansvarige, bland annat vid incidenter och när registrerade utövar sina rättigheter,
- föra register över de behandlingar det utför för den ansvariges räkning (artikel 30.2), och
- utan onödigt dröjsmål underrätta den ansvarige om en personuppgiftsincident (artikel 33.2).
Ett biträde som själv börjar bestämma ändamål och medel för behandlingen blir personuppgiftsansvarig för den behandlingen (artikel 28.10).
Gemensamma skyldigheter
Både ansvariga och biträden ska samarbeta med IMY, och i vissa fall utse ett dataskyddsombud, till exempel om de är myndigheter eller om kärnverksamheten innebär omfattande övervakning eller behandling av känsliga uppgifter (artiklarna 31 och 37). Registerföringskravet gäller i regel inte organisationer med färre än 250 anställda, men undantaget faller bort om behandlingen inte är tillfällig, kan medföra risker för de registrerade eller omfattar känsliga uppgifter eller uppgifter om lagöverträdelser (artikel 30.5).
Ansvar och sanktioner
Den som har lidit skada på grund av en överträdelse har rätt till ersättning från den ansvarige eller biträdet. Ett biträde svarar dock bara om det inte har fullgjort sina egna skyldigheter eller har handlat utanför eller i strid med den ansvariges instruktioner (artikel 82). IMY kan också besluta om sanktionsavgifter (artikel 83).