Hvornår databehandler?

Hvornår er en virksomhed databehandler?

En virksomhed bliver databehandler, når den udfører behandling af personoplysninger på vegne af en anden virksomhed, der er dataansvarlig. Det er vigtigt at forstå forskellen på dataansvarlig og databehandler, da dette har juridiske implikationer.

Dataansvarlig er den virksomhed, der bestemmer formålet og midlerne til behandlingen af personoplysninger. De ejer, kontrollerer og er ansvarlige for, hvordan disse oplysninger behandles. Eksempler inkluderer virksomheder, der indsamler kundedata til markedsføring, eller virksomheder, der administrerer medarbejderdata i forbindelse med lønudbetalinger.

Databehandleren er derimod virksomheden, der rent faktisk udfører behandlingen. De handler på vegne af den dataansvarlige, og deres rolle er at hjælpe med at opfylde den dataansvarliges formål. Det er ikke behandleren, der definerer formålet eller bestemmer, hvordan oplysningerne behandles.

Et centralt eksempel på databehandler-relationen er lønudbetalinger. Virksomheden, der udbetaler løn, er typisk databehandler. Den dataansvarlige er virksomheden, der beskæftiger medarbejderne og dermed er ansvarlig for data om disse medarbejdere. Behandleren håndterer de specifikke data om løn, men det er den dataansvarlige, der definerer, hvilke oplysninger der skal behandles og til hvilket formål. Andre eksempler på databehandlere inkluderer:

• Cloud-tjenesteudbydere: Disse virksomheder kan behandle personoplysninger på vegne af dataansvarlige ved at huse deres data.
• Markedsføringsbureauer: Disse virksomheder kan behandle personoplysninger fra dataansvarlige til markedsføringsformål.
• Systemleverandører: Behandling af data, som er nødvendigt for virksomhedernes systemer, såsom HR-systemer.

Det er afgørende for dataansvarlige at udpege databehandlere på en korrekt og transparent måde. En veldefineret aftale, der detaljerer behandlingsaktiviteterne, beskyttelsesniveauer og ansvarlighed, er en nødvendighed. Denne aftale skal understøtte dataansvarligens kontrol over behandlingen og sikre overholdelse af gældende databeskyttelsesregler, såsom GDPR.

I praksis kan en virksomhed både være dataansvarlig og databehandler. F.eks. kan en virksomhed selv behandle data til marketing (dataansvarlig), og samtidig uddelegere håndtering af e-mails til et eksternt firma (databehandler). Forholdet er essentielt forskellige i de to situationer. Disse kompleksiteter gør det yderst vigtigt, at virksomheder har et solidt fundament for forståelse af deres rolle i den aktuelle databehandling.