Rollen som behandlingsansvarlig eller databehandler må vurderes for den konkrete behandlingen. Samme virksomhet kan være databehandler for én oppgave og behandlingsansvarlig for en annen. Avtalens overskrift avgjør ikke rollen hvis den faktiske beslutningsmyndigheten og databruken viser noe annet.
Artikkel 4 i GDPR definerer rollene, mens artikkel 26 og 28 regulerer sentrale plikter ved felles behandlingsansvar og databehandling på vegne av andre. EDPBs endelige retningslinjer 07/2020 gir veiledning om vurderingen. Arbeidsmetoden nedenfor hjelper dere å avklare hvem som bestemmer, hvilke avtaler som trengs og hvordan rollefordelingen følges i praksis.
Avgrens oppgaven før leverandøren klassifiseres
Beskriv formålet, opplysningene, handlingene og de berørte personene. Del en større tjeneste i relevante behandlinger dersom aktørene har forskjellige roller. En leverandør kan for eksempel behandle kundens opplysninger etter instruks og samtidig håndtere egne nødvendige fakturaopplysninger til et separat formål.
Bruk systemoversikten til å finne forbindelser og mottakere. En kontrakt med én leverandør kan omfatte flere juridiske enheter og underleverandører. Registrer hvem som faktisk mottar opplysninger og hvilken oppgave hver part utfører. Et konsernnavn er ofte for upresist som eneste aktørbeskrivelse.
Undersøk hvem som bestemmer hvorfor
Den som bestemmer formålet, tar stilling til hvorfor personopplysningene skal behandles. Undersøk hvem som valgte aktiviteten og hvilket resultat den skal gi. En aktør som bruker opplysningene til egne analyser eller andre selvstendige formål, kan ikke uten videre beskrives som databehandler for denne bruken.
Spør hva mottakeren ville gjort hvis kunden ba om å stanse den konkrete behandlingen. Vurder faktiske instrukser, tjenesteoppsett og praksis. Et teknisk produkt kan gi kunden mange valgmuligheter, men noen formål kan likevel være bestemt av leverandøren selv. Disse forskjellene må være synlige i vurderingen.
Undersøk hvem som bestemmer de vesentlige midlene
Vurder hvem som bestemmer sentrale forhold som hvilke personer og opplysninger behandlingen gjelder, hvem som får tilgang og hvor lenge behandlingen skal vare. En databehandler kan ha rom til å velge praktiske og tekniske løsninger innenfor oppdraget uten at dette alene gjør vedkommende behandlingsansvarlig. Skillet må vurderes ut fra den faktiske beslutningsmyndigheten.
Unngå å avgjøre rollen bare etter hvem som eier serveren eller utvikler programvaren. Tekniske ressurser og faglig kompetanse er relevante fakta, men er ikke alene svaret på hvem som bestemmer formål og vesentlige midler. Beskriv hvilke beslutninger kunden beholder, og hvilke leverandøren faktisk tar selv.
Arbeidsark for rolleavklaringen
| Spørsmål | Underlag som bør undersøkes |
|---|---|
| Hva er behandlingen? | Avgrenset formål, opplysninger og handlinger |
| Hvem bestemmer formålet? | Beslutninger, tjenestebeskrivelse og faktisk bruk |
| Hvem bestemmer sentrale midler? | Personkrets, datakategorier, mottakere og varighet |
| Finnes dokumenterte instrukser? | Avtale, bestilling og løpende endringer |
| Har mottakeren egne formål? | Analyse, viderebruk og andre selvstendige aktiviteter |
| Tas beslutninger sammen? | Felles eller sammenfallende beslutninger om behandlingen |
| Hvilken rolle følger? | Begrunnet konklusjon for hver behandling |
| Hva må gjennomføres? | Avtale, informasjon, rettighetsprosess og kontroll |
Arbeidsarket skal gjøre vurderingen etterprøvbar. Dersom faktiske opplysninger mangler, bør de stå som åpne spørsmål. Ikke fyll inn «databehandler» bare fordi det er den vanligste avtalen virksomheten bruker ved kjøp av programvare.
Utfylt eksempel: en kundestøttetjeneste med to formål
En tenkt virksomhet bruker en ekstern tjeneste til å håndtere henvendelser. Partene undersøker to adskilte aktiviteter:
| Aktivitet | Fakta i eksemplet | Vurderingsretning |
|---|---|---|
| Lagring og behandling av kundens supportsaker | Kunden bestemmer formål, innhold og håndtering; leverandøren følger dokumenterte instrukser | Databehandlerforhold undersøkes og avtalefestes |
| Leverandørens egen fakturering av kunden | Leverandøren bestemmer et selvstendig administrativt formål og nødvendige opplysninger | Separat behandlingsansvar vurderes for denne aktiviteten |
Hvis leverandøren ønsker å bruke innholdet i supportsakene til et nytt eget formål, må den bruken vurderes særskilt. Den blir ikke dekket av databehandlerrollen bare fordi opplysningene opprinnelig ble mottatt under et slikt oppdrag. Eksemplet illustrerer oppdeling og gir ingen generell klassifisering av alle supportleverandører.
Når artikkel 28-avtale er riktig spor
Når en part behandler personopplysninger på vegne av den behandlingsansvarlige, må forholdet håndteres etter artikkel 28 og øvrige relevante krav. Databehandleravtalen skal beskrive behandlingen og regulere nødvendige instrukser og plikter. Avklar blant annet bistand, sikkerhet, underdatabehandlere og håndtering ved avslutning.
Kontroller at avtalen stemmer med tjenesten. En leverandør som i praksis velger egne formål, blir ikke databehandler for denne bruken bare ved å signere et standarddokument. Omvendt bør kunden ikke fraskrive seg egne beslutninger ved å beskrive leverandøren som ansvarlig for alt personvernarbeid.
Når felles behandlingsansvar må vurderes
Hvis flere aktører sammen bestemmer formål og midler, kan det foreligge felles behandlingsansvar. Undersøk hvordan beslutningene henger sammen og hvilken del av behandlingen samarbeidet gjelder. At to virksomheter utveksler opplysninger, er ikke alene nok til å konkludere med felles ansvar for enhver videre aktivitet.
Artikkel 26 krever en ordning som fordeler relevante plikter på en gjennomsiktig måte, med bestemmelsens forbehold. Det vesentlige innholdet skal gjøres tilgjengelig for den registrerte. Personen kan utøve sine rettigheter overfor hver av de felles behandlingsansvarlige etter nr. 3. En intern oppgavefordeling bør derfor ikke brukes til å sende personen i en endeløs sirkel mellom partene.
Skill mellom selvstendige behandlingsansvarlige
En mottaker kan behandle opplysningene til egne formål uten at partene er felles behandlingsansvarlige. Da må utlevering og mottakerens behandling ha riktig grunnlag og øvrige vilkår. En databehandleravtale er ikke automatisk riktig instrument for dette forholdet.
Beskriv hvem som informerer personen, hvilke opplysninger som deles og hvilke rettigheter som gjelder i de forskjellige behandlingene. Bruk behandlingsgrunnlag etter artikkel 6 og informasjonsplikt etter artikkel 14 der disse er relevante. Rollen og det rettslige grunnlaget er forskjellige spørsmål som må kobles sammen.
La rollefordelingen styre rettighetsarbeidet
Avklar hvem som mottar et innsynskrav, hvem som finner opplysninger og hvem som tar nødvendige beslutninger. En databehandler kan bistå etter oppdraget, mens den behandlingsansvarlige må ha en fungerende prosess for egne plikter. Hvis samme leverandør også har egne behandlinger, må det være mulig å skille dem.
Knytt dette til innsynsrutinen. Brukeren bør få en forståelig kontaktvei og et svar som gjenspeiler faktisk ansvar. Interne kontraktsgrenser kan være viktige, men bør ikke føre til at et krav blir liggende uten eier mens partene diskuterer hvilken avdeling som skal gjøre et uttrekk.
Avklar sikkerhet og hendelser i den faktiske kjeden
Beskriv hvilke sikkerhetstiltak hver part utfører og hvordan hendelser meldes mellom dem. En databehandler har også direkte plikter etter GDPR, og den behandlingsansvarlige trenger tilstrekkelig informasjon til å håndtere sine oppgaver. Unngå å beskrive ansvaret som om bare én part har alle plikter.
Bruk sikkerhetsvedlegget til å konkretisere tiltak, omfang og kundestyrte innstillinger. En generell leverandørgaranti er mindre nyttig enn en beskrivelse av hvem som kontrollerer tilgang, håndterer logger og gjennomfører gjenoppretting. Kontroller at avtalte varslingskanaler faktisk følges opp.
Vurder endringer og uautorisert viderebruk
Nye funksjoner, analyser eller mottakere kan endre rollebildet. En databehandler som bestemmer formål og midler i strid med rammene, kan etter artikkel 28 nr. 10 bli ansett som behandlingsansvarlig for den aktuelle behandlingen. Vurderingen må knyttes til de faktiske handlingene og ikke brukes som en generell etikett på hele leverandøren.
Registrer hvilke endringer som skal gjennomgås før de innføres. Dersom en leverandør endrer vilkårene for egen bruk av kundedata, må innkjøp, fagansvarlig og personvernressurs få et konkret grunnlag for beslutning. En automatisk aksept av nye vilkår kan ellers videreføre en behandling som ikke er vurdert.
Dokumenter en konklusjon som kan brukes
Avslutt med rolle per behandling, begrunnelse, relevante avtaler og ansvar for oppfølging. Bevar hvilke fakta som var avgjørende og hvilke spørsmål som fortsatt er åpne. Knytt resultatet til behandlingsprotokollen og leverandøroversikten, slik at senere prosjekter kan finne vurderingen.
Bruk et konkret eksempel for å kontrollere at fordelingen fungerer: hvem svarer ved et krav, hvem endrer en tilgang og hvem håndterer avslutning? Hvis ingen kan utføre oppgaven uten en ny rollediskusjon, trenger dokumentasjonen eller avtalen mer presisjon. Rolleavklaringen er først anvendelig når den støtter handling i den faktiske tjenesten.