Fælles dataansvar – forstå reglerne og forpligtelserne
Fælles dataansvar opstår, når to eller flere parter sammen fastlægger både formålet med og metoderne for behandlingen af personoplysninger. I sådanne tilfælde kræver GDPR, at ansvarsfordelingen mellem parterne beskrives i en skriftlig aftale.
Hvornår er der tale om fælles dataansvar?
Der er fælles dataansvar, når flere virksomheder i fællesskab bestemmer, hvorfor og hvordan oplysninger behandles. Et klassisk eksempel er, når to virksomheder anvender et fælles IT-system, som begge har adgang til og bruger til egne formål.
Hvis behandlingen derimod kun sker på instruks fra én part, er der ikke tale om delt dataansvar, men om et forhold mellem dataansvarlig og databehandler, som reguleres af en databehandleraftale.
Fordeling af roller og ansvar
Når flere parter deler ansvaret, skal aftalen sikre fuld gennemsigtighed. Det betyder, at de registrerede, altså de personer hvis oplysninger behandles, tydeligt skal kunne se, hvilken part der har ansvar for hvilke dele af behandlingen.
En aftale om fælles dataansvar bør derfor blandt andet beskrive:
- Formålet med behandlingen hos hver part
- Fordelingen af rettigheder og forpligtelser
- Hvordan de registreredes rettigheder sikres
- Håndtering af brud på datasikkerhed
- Dokumentation og oplysningspligt overfor de registrerede
Ofte kan oplysningspligten bedst opfyldes gennem en privatlivspolitik, hvor hver parts ansvar beskrives klart.
Forskellen på fælles dataansvar og databehandleraftale
Ved fælles dataansvar har begge parter et selvstændigt formål med behandlingen. Ved en databehandleraftale er det alene den dataansvarlige, der fastsætter formålet, mens databehandleren kun handler efter instruks. Det er derfor vigtigt at afklare relationen korrekt, så den rette aftale udarbejdes.
Sammenhæng med øvrige GDPR-dokumenter
En aftale om dataansvar i fællesskab bør indgå i en samlet databeskyttelsesstruktur. Den hænger tæt sammen med dokumenter som intern datapolitik, IT-sikkerhedspolitik, retningslinjer for samtykke, beredskab ved databrud, konsekvensanalyse og en ajourført fortegnelse.
Når disse dokumenter er koordinerede, styrkes virksomhedens samlede GDPR-compliance markant.
Juridisk rådgivning om dataansvar
Jeg har omfattende erfaring med at udarbejde aftaler om fælles ansvar. Rådgivningen sikrer, at ansvarsfordelingen er tydelig, at GDPR overholdes, og at virksomheden undgår juridiske risici.
Har du brug for rådgivning om delt dataansvar eller andre GDPR-relaterede dokumenter, er du velkommen til at kontakte mig.
