GDPR – Behandling

Den generelle forordning om databeskyttelse (GDPR) tilbyder en ensartet, europa-dækkende mulighed for såkaldt ‘databehandling på vegne af’, hvilket er indsamling, behandling eller brug af personoplysninger af en databehandler i overensstemmelse med den dataansvarliges instruktioner baseret på en kontrakt.

De relevante regler for databehandling efter ordre gælder allerede, hvis behandlingen er forbundet med aktiviteter fra en etablering inden for EU. Dette betyder, at det er tilstrækkeligt, hvis enten den dataansvarlige eller databehandleren driver en etablering i EU, og behandlingen finder sted i forbindelse med dens aktiviteter. Man skal skelne mellem behandling og fælles kontrol (Art. 26 GDPR), hvor begge parter i fællesskab definerer formålene og midlerne til databehandlingen og dermed også er fælles ansvarlige for disse.

I et dataansvarlig-databehandler forhold må sidstnævnte kun behandle personoplysninger baseret på de dokumenterede instruktioner fra dataansvarlig. Databehandleren må ikke engagere en anden databehandler for at hjælpe med at opfylde en specifik kontrakt uden den forudgående specifikke eller generelle skriftlige godkendelse fra den respektive dataansvarlig. I tilfælde af en generel godkendelse skal databehandleren informere ham om relevante ændringer vedrørende behandlingen.

I de fleste tilfælde foretages databehandling på grundlag af en kontrakt. Art. 28(3) GDPR fastsætter minimumskravene. Kontrakten skal blandt andet indeholde, hvilken type personoplysninger der vil blive behandlet, samt formålet og målet med behandlingen. Derudover er der yderligere forpligtelser for databehandleren. For eksempel skal han også føre en fortegnelse over behandlingsaktiviteterne, som inkluderer navne og kontaktdata på hver dataansvarlig, som han arbejder for, samt de behandlingskategorier, der udføres for dem. Endvidere skal fortegnelsen, hvis det er relevant, indeholde overførsel af personoplysninger til tredjelande og, hvis muligt, en generel beskrivelse af tekniske og organisatoriske foranstaltninger. Den dataansvarlige skal sikre, ved at vælge databehandleren, at denne har implementeret tilstrækkelige tekniske og organisatoriske foranstaltninger for at sikre, at behandlingen opfylder forordningens krav.

Grundlæggende er den dataansvarlige den første kontakt for den registrerede og ansvarlig for, at databehandlingen overholder de juridiske krav. Dette betyder dog ikke, at databehandleren er fri for ansvar. Ifølge Art. 82 GDPR er han sammen med den dataansvarlige solidarisk ansvarlig. Databehandlerens ansvar er dog begrænset ifølge paragraf 2 til overtrædelser af forpligtelser, der er specifikke for ham. Begge parter har mulighed for at frifinde sig selv. For at gøre dette skal de bevise, at de på ingen måde var ansvarlige for den hændelse, der førte til skaderne.