Hvad er en dataansvarlig?

Af alle rollerne i GDPR er den dataansvarlige den vigtigste at forstå, for det er som regel dig selv. Det er en rolle man kan forveksle med noget der kan lægges ud, men netop det er kernen i den: Ansvaret bliver hos dig uanset hvor mange leverandører du bruger. Her er hvad rollen indebærer.

Definitionen: den der bestemmer

Den dataansvarlige er den der bestemmer hvorfor og hvordan personoplysninger skal behandles. Det er den der træffer beslutningerne: hvilke oplysninger der indsamles, til hvilket formål og i store træk på hvilken måde. Ansvaret følger beslutningen.

I langt de fleste tilfælde er det jer selv, virksomheden der ejer kunderelationen og driver forretningen. Når I beslutter at føre et kunderegister, sende nyhedsbreve eller gemme ordrehistorik, er det jer der er dataansvarlige for den behandling. Det var jer der besluttede at den skulle finde sted og hvad den skulle bruges til.

Det er en rolle der handler om beslutninger, ikke om hænder på tastaturet. Hvem der teknisk udfører behandlingen, er et særskilt spørgsmål.

Testspørgsmålet: Hvem bestemmer formålet?

Den enkleste måde at afgøre om I er dataansvarlige på, er ét eneste spørgsmål: Hvem bestemmer formålet? Den der afgør hvorfor oplysningerne behandles, er dataansvarlig.

Spørgsmålet skærer lige igennem det der ellers skaber forvirring. Det er ligegyldigt hvem der opbevarer dataene, hvem der drifter serveren eller hvem der byggede systemet. Besluttede I at oplysningerne skulle indsamles, og til hvilket formål, er ansvaret jeres. Bestemmer en anden sit eget formål med dem, er vedkommende dataansvarlig for netop det.

Hold det adskilt fra udførelsen. En leverandør der behandler oplysninger for jer efter jeres instruks, er en databehandler, ikke en dataansvarlig. Forskellen afgør hvem der står til ansvar over for myndigheden når noget går galt.

Ansvaret kan ikke outsources

Her ligger den mest udbredte og mest farlige misforståelse: at man kan lægge ansvaret over på den leverandør der står for teknikken. Det kan man ikke.

I kan lægge selve behandlingen ud: lade en cloududbyder opbevare dataene, en driftspartner passe serverne, et bureau bygge systemet. De bliver så jeres databehandlere. Men det overordnede ansvar bliver hos jer, som besluttede formålet. At driften fysisk ligger et andet sted, ændrer ingenting.

Et konkret eksempel: I opbevarer jeres kunderegister hos en stor cloududbyder i deres datacenter. Det er deres hardware, deres drift, deres sikkerhed på infrastrukturniveau. Alligevel er I stadig dataansvarlige for registret. I besluttede at det skulle findes, og hvorfor; cloududbyderen er databehandler og håndterer det for jer. Går noget galt med hvordan oplysningerne bruges, er det jer der står til ansvar for det over for tilsynsmyndigheden.

Konklusionen er at valget af leverandører og aftaler er en del af at løfte jeres ansvar, ikke en måde at slippe af med det på.

Fælles dataansvar, kort

Nogle gange er der ikke kun én dataansvarlig. Fælles dataansvar betyder at to eller flere parter sammen bestemmer hvorfor og hvordan personoplysninger behandles, og derfor deler ansvaret og skal blive enige om hvordan det fordeles mellem dem. Det skal holdes adskilt fra forholdet mellem dataansvarlig og databehandler, hvor kun den ene bestemmer formålet.

Sådan bruger du det

I praksis betyder rollen at databeskyttelse ligger på jeres bord, også når teknikken er en andens. Gå ud fra at I er dataansvarlige for det I beslutter at indsamle. Se det som jeres ansvar at vælge leverandører der holder, og at indgå de rigtige aftaler. Og tag spørgsmålene op allerede i kravfasen, hvor de er billigst at bygge ind.

Vil I have hjælp til at bygge systemer hvor ansvaret er gennemtænkt fra start, tager vi hos Weapp det gerne med i systemarbejdet. Kontakt os, så gennemgår vi hvad jeres ansvar indebærer i praksis.