GDPR – Behandling

Dataskyddsförordningen (GDPR) erbjuder en enhetlig, EU-omfattande möjlighet för så kallad ’personuppgiftsbiträdesbehandling’, vilket innebär att insamling, behandling eller användning av personuppgifter utförs av ett personuppgiftsbiträde enligt instruktionerna från den personuppgiftsansvarige baserat på ett avtal.

De relevanta föreskrifterna för uppdraget databehandling gäller redan om behandlingen är kopplad till aktiviteter vid en etablering inom EU. Detta innebär att det är tillräckligt om antingen den personuppgiftsansvarige eller personuppgiftsbiträdet driver en etablering inom EU, och behandlingen sker i samband med dess aktiviteter. Man måste skilja mellan behandling och gemensamt personuppgiftsansvar (Art. 26 GDPR), där båda parter gemensamt definierar syften och medel för databehandlingen och därmed också är gemensamt ansvariga för dessa.

I ett registeransvarig-databehandlare-förhållande får den senare endast behandla personuppgifter baserat på de dokumenterade instruktionerna från den registeransvarige. Databehandlaren kan inte engagera en annan databehandlare för att hjälpa till att uppfylla ett specifikt avtal utan det tidigare specifika eller allmänna skriftliga tillståndet från respektive registeransvarig. Vid allmänt tillstånd måste databehandlaren informera honom om relevanta förändringar gällande behandlingen.

I de flesta fall sker uppdragsbaserad databehandling baserat på ett avtal. Art. 28(3) GDPR fastställer dess minimikrav. Avtalet måste innehålla, bland annat, vilken typ av personuppgifter som kommer att behandlas, samt syftet och ändamålet med behandlingen. Dessutom finns det ytterligare skyldigheter för personuppgiftsbiträdet. Till exempel måste han också föra ett register över behandlingsaktiviteterna som inkluderar namn och kontaktuppgifter för varje personuppgiftsansvarig han arbetar för, samt de kategorier av behandling som utförs för dem. Vidare måste registret innehålla, om tillämpligt, överföring av personuppgifter till tredjeländer och, om möjligt, en allmän beskrivning av tekniska och organisatoriska åtgärder. Personuppgiftsansvarig måste säkerställa, vid valet av personuppgiftsbiträde, att det har implementerat tillräckliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen uppfyller förordningens krav.

Grundläggande är att personuppgiftsansvarig är den första kontakten för den registrerade och ansvarar för att databehandlingen uppfyller de lagliga kraven. Detta betyder dock inte att personuppgiftsbiträdet är fri från ansvar. Enligt artikel 82 GDPR är han delvis ansvarig tillsammans med personuppgiftsansvarige. Personuppgiftsbiträdets ansvar är dock begränsat enligt paragraf 2 till överträdelser av skyldigheter som är specifika för honom. Båda parter har möjlighet att frita sig själva. För att göra detta måste de bevisa att de inte var ansvariga på något sätt för den händelse som ledde till skadan.