Vad är personuppgiftsansvarig?

Av alla roller i GDPR är den personuppgiftsansvarige den viktigaste att förstå – för det är oftast du själv. Det är en roll som går att missta för något man kan lägga ut, men just det är kärnan i den: ansvaret sitter kvar hos dig oavsett hur många leverantörer du anlitar. Här är vad rollen innebär.

Definitionen: den som bestämmer

Den personuppgiftsansvarige är den som bestämmer varför och hur personuppgifter ska behandlas. Det är den som fattar besluten: vilka uppgifter som samlas in, i vilket syfte, och i stora drag på vilket sätt. Ansvaret följer det beslutet.

I de allra flesta fall är det ni själva – bolaget som äger kundrelationen och driver verksamheten. När ni bestämmer att ni ska föra ett kundregister, skicka nyhetsbrev eller spara beställningshistorik, är det ni som är personuppgiftsansvariga för den behandlingen. Ni bestämde att den skulle ske, och till vad.

Det är en roll om beslut, inte om händer på tangentbordet. Vem som tekniskt utför behandlingen är en separat fråga.

Testfrågan: vem bestämmer ändamålet?

Det enklaste sättet att avgöra om ni är ansvariga är en enda fråga: vem bestämmer ändamålet? Den som avgör varför uppgifterna behandlas är personuppgiftsansvarig.

Frågan skär rakt igenom det som annars förvirrar. Det spelar ingen roll vem som lagrar datan, vem som driftar servern eller vem som byggde systemet. Bestämde ni att uppgifterna skulle samlas in och till vilket syfte, är ansvaret ert. Bestämmer någon annan sitt eget syfte med dem, är den ansvarig för just det.

Håll isär detta från utförandet. En leverantör som behandlar uppgifter åt er enligt era instruktioner är ett personuppgiftsbiträde, inte en ansvarig. Skillnaden avgör vem som svarar inför myndigheten när något går fel.

Ansvaret går inte att outsourca

Här ligger den vanligaste och farligaste missuppfattningen: att man kan lägga över ansvaret på den leverantör som sköter tekniken. Det går inte.

Ni kan lägga ut själva behandlingen – låta en molnleverantör lagra datan, en driftpartner sköta servrarna, en byrå bygga systemet. De blir då era biträden. Men det övergripande ansvaret följer med er, som bestämde ändamålet. Att driften fysiskt ligger någon annanstans ändrar ingenting.

Ett konkret exempel: ni lagrar ert kundregister hos en stor molnleverantör i deras datacenter. Det är deras hårdvara, deras drift, deras säkerhet på infrastrukturnivå. Ändå är ni fortfarande personuppgiftsansvariga för registret. Ni bestämde att det skulle finnas och varför; molnleverantören är biträde som hanterar det åt er. Går något fel med hur uppgifterna används är det ni som svarar för det inför tillsynsmyndigheten.

Slutsatsen är att valet av leverantörer och avtal är en del av att förvalta ert ansvar, inte ett sätt att bli av med det.

Gemensamt personuppgiftsansvar, kort

Ibland är det inte en ensam ansvarig. Gemensamt personuppgiftsansvar innebär att två eller flera parter tillsammans bestämmer varför och hur personuppgifter behandlas, och därför delar på ansvaret och behöver komma överens om hur det fördelas mellan sig. Det ska hållas isär från förhållandet mellan ansvarig och biträde, där bara den ena bestämmer ändamålet.

Så använder du det här

I praktiken betyder rollen att dataskydd är ert bord, även när tekniken är någon annans. Utgå från att ni är personuppgiftsansvariga för det ni beslutar att samla in. Se det som ert ansvar att välja leverantörer som håller och att teckna rätt avtal. Och ta upp frågorna redan i kravskedet, när de är billigast att bygga in.

Vill ni ha hjälp att bygga system där ansvaret är genomtänkt från start tar vi på Weapp gärna med det i systemarbetet. Hör av dig så går vi igenom vad ert ansvar innebär i praktiken.