Hva er behandlingsansvarlig?

Av alle rollene i personvernforordningen (GDPR) er den behandlingsansvarlige den viktigste å forstå, for som oftest er det deg selv det gjelder. Rollen kan lett forveksles med noe man kan sette ut, men det er nettopp der kjernen ligger: Ansvaret blir værende hos deg uansett hvor mange leverandører du bruker. Her går vi gjennom hva rollen innebærer.

Definisjonen: den som bestemmer

Den behandlingsansvarlige er den som bestemmer hvorfor og hvordan personopplysninger skal behandles. Det er den som tar beslutningene: hvilke opplysninger som samles inn, til hvilket formål og i grove trekk på hvilken måte. Ansvaret følger den beslutningen.

I de aller fleste tilfeller er det dere selv, altså selskapet som eier kunderelasjonen og driver virksomheten. Når dere bestemmer at dere skal føre et kunderegister, sende ut nyhetsbrev eller lagre ordrehistorikk, er det dere som er behandlingsansvarlige for den behandlingen. Dere bestemte at den skulle skje, og hva den skulle brukes til.

Rollen handler om beslutninger, ikke om hvem som sitter ved tastaturet. Hvem som teknisk utfører behandlingen, er et eget spørsmål.

Testspørsmålet: Hvem bestemmer formålet?

Den enkleste måten å avgjøre om dere er behandlingsansvarlige på, er ett eneste spørsmål: Hvem bestemmer formålet? Den som avgjør hvorfor opplysningene behandles, er behandlingsansvarlig.

Spørsmålet skjærer rett gjennom det som ellers skaper forvirring. Det spiller ingen rolle hvem som lagrer dataene, hvem som drifter serveren eller hvem som bygde systemet. Bestemte dere at opplysningene skulle samles inn og til hvilket formål, er det dere som har ansvaret. Bestemmer noen andre et eget formål med dem, er vedkommende ansvarlig for akkurat det.

Hold dette adskilt fra utførelsen. En leverandør som behandler opplysninger for dere etter instrukser fra dere, er en databehandler, ikke en behandlingsansvarlig. Forskjellen avgjør hvem som står til ansvar overfor myndighetene når noe går galt.

Ansvaret kan ikke settes ut

Her ligger den vanligste og farligste misforståelsen: at man kan legge ansvaret over på leverandøren som tar seg av teknikken. Det går ikke.

Dere kan sette ut selve behandlingen, altså la en skyleverandør lagre dataene, en driftspartner ta seg av serverne og et byrå håndtere personopplysningene når det bygger eller forvalter systemet. De blir da databehandlere for dere. Men det overordnede ansvaret blir hos dere, som bestemte formålet. At driften fysisk ligger et annet sted, endrer ingenting.

Et konkret eksempel: Dere lagrer kunderegisteret hos en stor skyleverandør i leverandørens datasenter. Maskinvaren, driften og sikkerheten på infrastrukturnivå er leverandørens. Likevel er dere fortsatt behandlingsansvarlige for registeret. Dere bestemte at det skulle finnes, og hvorfor; skyleverandøren er databehandler og håndterer det for dere. Går noe galt med hvordan opplysningene brukes, er det dere som står til ansvar for det overfor Datatilsynet.

Konklusjonen er at valget av leverandører og avtaler er en del av å ivareta ansvaret, ikke en måte å bli kvitt det på.

Felles behandlingsansvar, kort fortalt

Noen ganger er det ikke bare én ansvarlig. Felles behandlingsansvar innebærer at to eller flere parter sammen bestemmer hvorfor og hvordan personopplysninger behandles, og derfor deler ansvaret og må bli enige om hvordan det skal fordeles mellom dem. Det skal holdes adskilt fra forholdet mellom behandlingsansvarlig og databehandler, der bare den ene bestemmer formålet.

Slik bruker du dette

I praksis betyr rollen at det er dere som har ansvaret for personvernet, også når teknikken er noen andres. Gå ut fra at dere er behandlingsansvarlige for det dere beslutter å samle inn. Se det som en del av ansvaret å velge leverandører som holder mål, og å inngå de riktige avtalene. Og ta opp spørsmålene allerede i kravfasen, når de er billigst å bygge inn.

Vil dere ha hjelp til å bygge systemer der ansvaret er gjennomtenkt fra start, tar vi i Weapp gjerne med dette i systemarbeidet. Ta kontakt, så går vi gjennom hva ansvaret innebærer for dere i praksis.