Er jeg databehandler eller dataansvarlig?

Den, der bestemmer formålet, er dataansvarlig

Rollen følger af spørgsmålet om, hvem der beslutter hvorfor og hvordan data behandles, ikke af spørgsmålet om, hvem der faktisk indtaster eller gemmer dataene. En virksomhed, der selv bestemmer, hvilke kundedata den indsamler, med hvilket formål, og hvor længe den gemmer dem, er dataansvarlig for disse data. En part, der behandler de samme data udelukkende efter instruks — ifølge instruktioner fra en anden uden selv at tilføje et formål — er databehandler. En bogholderipakke, der behandler fakturaer ifølge brugerens indstillinger, er typisk databehandler; den virksomhed, der bruger pakken og bestemmer, hvilke kundedata der kommer ind i den, er ansvarlig.

I praksis er én virksomhed ofte begge dele på samme tid, afhængigt af hvilken dataflow du ser på. Et lønningsadministrationskontor er databehandler for de personaledata, det behandler på vegne af kunder, og samtidig dataansvarlig for data om egne medarbejdere. Rollen er således knyttet til den specifikke behandling, ikke til organisationstypen eller den sektor, hvori den opererer. Den sondring bestemmer derefter, hvilke forpligtelser der gælder: en dataansvarlig bærer hovedansvaret for lovlighed og regnskabsafleggelse, en databehandler opererer inden for rammerne af en databehandleraftale og instruktionerne heri.

Hvor det fremgår af artikel 4 og 28 i GDPR

Artikel 4 i GDPR giver definitionerne på begge roller: datasekvajeren er den, der fastlægger formål og midler for behandlingen, databehandleren er den, der på vegne af datasekvajeren behandler personoplysninger. Artikel 28 i GDPR bygger på dette og beskriver specifikt, hvad der forventes af en databehandler, blandt andet at arbejde efter en databehandleraftale. EDPB's retningslinjer udvikler denne afgrænsning yderligere med praktiske eksempler, netop fordi sondringen i praksis ikke altid er helt klar.