Är jag databehandlare eller personuppgiftsansvarig?

Den som bestämmer syftet är personuppgiftsansvarig

Rollen följer av frågan om vem som beslutar varför och hur uppgifter behandlas, inte från frågan om vem som faktiskt matar in eller lagrar uppgifterna. Ett företag som själv bestämmer vilka kunduppgifter det samlar in, för vilket syfte och hur länge det behåller dem, är personuppgiftsansvarig för dessa uppgifter. En part som behandlar samma uppgifter enbart på uppdrag — enligt instruktioner från någon annan, utan att själv tillföra något syfte — är biträde. Ett bokföringsprogram som behandlar fakturor enligt användarens inställningar är typiskt ett biträde; företaget som använder programmet och bestämmer vilka kunduppgifter som ska ingå i det är ansvarigt.

I praktiken är ett företag ofta båda samtidigt, beroende på vilken dataström du granskar. Ett löneadministrationskontor är biträde för de personuppgifter det behandlar för kunders räkning och samtidigt personuppgiftsansvarig för sina egna anställdas uppgifter. Rollen är således knuten till den specifika behandlingen, inte till organisationstypen eller den sektor där den verkar. Denna skillnad avgör därefter vilka skyldigheter som gäller: en personuppgiftsansvarig bär huvudansvaret för laglighet och ansvarsskyldighet, ett biträde verkar inom gränserna för ett behandlingsavtal och instruktionerna däri.

Där det står i artikel 4 och 28 i GDPR

Artikel 4 i GDPR ger definitionerna av båda rollerna: personuppgiftsansvarig är den som fastställer syftet och medlen för behandlingen, biträde är den som behandlar personuppgifter för personuppgiftsansvarigs räkning. Artikel 28 i GDPR bygger vidare på detta och beskriver vad som specifikt förväntas av ett biträde, bland annat att arbeta enligt ett behandlingsavtal. Riktlinjerna från EDPB utvecklar denna avgränsning vidare med praktiska exempel, just för att gränsen i praktiken inte alltid är helt självklar.