FORHOLDET MELLEM DEN DATAANSVARLIGE OG DATABEHANDLEREN

Både den dataansvarlige og databehandleren skal selvstændigt sørge for at overholde persondataforordningen. Databehandleren er, udover persondataforordningen, også begrænset af aftalen med den dataansvarlige: Databehandleren må ikke behandle oplysninger i et videre omfang, end den dataansvarlige har givet lov til. Generelt om forholdet mellem de to, kan det siges, at den dataansvarlige er den overordnede og databehandleren er den underordnede.

Tilsyn

Den dataansvarlige skal føre tilsyn med databehandleren, både med hensyn til overholdelse af persondataforordningen og databehandleraftalen. Dette sker dels ved at spørge ind til behandlingen, dels ved at afkræve oplysninger om behandlingen.

Solidarisk hæftelse

Den dataansvarlige og databehandleren har fælles ansvar for overholdelse af reglerne. En virksomhed skal derfor være påpasselig, når den vælger en databehandler. Bryder databehandleren persondataforordningen, kan din virksomhed som udgangspunkt få en bøde, selvom virksomheden ikke selv har brudt reglerne, men eksempelvis ikke har ført tilstrækkeligt tilsyn med databehandleren.

Sikkerhedskrav til databehandleren

Inden en dataansvarlig antager en databehandler, skal den dataansvarlige undersøge eller udspørge om databehandlerens datasikkerhed. Man må ikke antage en databehandler, der ikke har den fornødne sikkerhed. Hvilket sikkerhedsniveau, der er passende, afhænger af, hvor følsomme oplysningerne, der skal behandles, er. For virksomheder, der lever af at være databehandlere, kan det være en god ide at få en erklæring fra en it-sagkyndig, der bekræfter et fornødent sikkerhedsniveau, som man kan henvise til.

Databehandleraftale
Det er et krav, at der foreligger en skriftlig aftale mellem den dataansvarlige og databehandleren. Aftalen skal bl.a. indeholde bestemmelse om:

at databehandleren kun må handle inden for den dataansvarliges instruks
at de personer, der konkret skal foretage behandlingen har tavshedspligt (eller er underlagt dette ved lov)
passende sikkerhedsforanstaltninger, herunder anmeldelse ved sikkerhedsbrud
at databehandleren kun benytter sig af underdatabehandlere, når kravene herfor i persondataforordningen er opfyldt
at databehandleren skal hjælpe den dataansvarlige med at opfylde sine forpligtelser
at databehandleren sletter eller tilbageleverer oplysninger, når behandlingen er færdig
at databehandleren stiller dokumentation til rådighed for den dataansvarlige

Kurser om persondataforordningen

Hos Leoni Advokater afholder vi kurser i, hvordan man i praksis implementerer forordningen i en virksomhed. Kurserne er både rettet til ledelsen, der skal stå for implementeringen, og til de medarbejdere, der skal behandle personoplysninger. Korrekt implementering kræver, at hele virksomheden løfter i flok – både i toppen og i bunden

Leoni Advokaters samarbejdspartnere

For at klæde dig godt på til de nye regler, har vi hos Leoni Advokater indledt et samarbejde med konsulentvirksomheden eNavigate, konsulentvirksomheden AKON og it-virksomheden n etI P.

På eNavigates hjemmeside vil vi i en række blogindlæg besvare spørgsmål i den nye persondataforordning, der vedrører digital markedsføring og eCommerce. På bloggen har du også mulighed for at stille os spørgsmål om persondata helt kvit og frit. Find bloggen her.

Implementering af forordningen stiller krav til din virksomheds it. Derfor har vi allieret os med it-virksomheden n etIP , der giver gode råd til, hvordan din virksomhed kan indrette sig it-teknisk.

netIP anbefaler - hvem gør hvad med hvilke data – og hvornår?

Som berørt i sidste nyhedsbrev bør du sikre, at en eventuel databehandler (og egne medarbejdere), kun har let adgang til de data, de skal bruge i udførelsen af deres arbejde.

Forordningens artikel om principper for behandling af personoplysninger (artikel 5), opstiller dog ikke kun begrænsninger og krav til behandlingen af data, herunder beskyttelse mod uautoriseret eller ulovlig behandling, men også et krav om at du som dataansvarlig kan påvise, at behandling overholder kravene og ikke er ulovlig.

Tangerer dette ikke omvendt bevisbyrde? Jo – det gør det, og det er en tung bevisbyrde at løfte, men det er her IT kommer til sin ret i emnet. Sikrer du, at behandling foregår via IT, på baggrund af sikre systemer, så kan du med det fornødne værktøj bl.a. registrere, hvem gør noget med en fil og hvornår. Eller f.eks. hvem har givet andre personer rettigheder til mere (eller mindre), end de bør have?

Ligesom med videoovervågning, er det ikke ofte, at du i praksis vil se på det, men med tanke på den potentielle værdi og den minimale indsats det har, er det oplagt at se på indførslen af data/adgangslogning i din virksomhed.

Persondatabeskyttelse kræver, at en virksomheds ansatte skal ændre deres vaner, og at kulturen i virksomheden udvikles. Det er ikke altid en let opgave at sætte skub i sådan en udvikling. Vi har derfor inviteret konsulentvirksomheden AKON til at give deres bud på, hvordan man bedst takler denne problemstilling.

AKON er en konsulentvirksomhed, der beskæftiger sig med rådgivning om psykisk arbejdsmiljø, ledelse & organisation og forretningsudvikling.

AKON anbefaler - Husk at det skal være meningsfuldt for de ansatte!

Et er at får rettet arbejdsgangene til, så man i virksomheden lever op til persondataforordningen. Noget andet er, at vi i dagligdagen følger de aftalte arbejdsgange. Det er den menneskelige faktor, der er på spil. Det er svært for os at gøre noget, der umiddelbart virker besværligt og meningsløst. En central opgave er derfor at formulere en mening, også der, hvor den kan være svær at få øje på.

Hvad er relevans og sandsynligt udbytte på individniveau – gruppeniveau – ledelsesniveau – organisationsniveau? Optimalt går man på jagt efter ”sandsynligt udbytte” sammen. Hvor det ikke er muligt er det heldigvis sådan, at vi kan ”låne” meningsfuldhed af hinanden. Hvis min leder siger: ”Dette skal vi nok få noget godt ud af”, så kan mit behov for mening ernære mig på hendes oplevelse af meningsfuldhed. Hvis hun siger: ”Dette er besværligt og helt hen i vejret”, så kommer ikke bare jeg, men hele organisationen på hårdt arbejde. Derfor – find meningen i form af relevans og sandsynligt udbytte.

Ønsker du at vide mere?

Implementering af regler og paragraffer er aldrig i virksomhedens fokus – og sådan skal det også være. Der er ingen, der bliver erhvervsdrivende for at sidde og nusse med regnskaber, fakturaer, persondatabeskyttelse og andre administrative opgaver. Som virksomhedsleder skal du have fokus på det, du brænder for.

Vi er her for at løfte arbejdsbyrden for dig, så du har frie hænder til at lave det, der betyder noget for dig.

Leoni Advokater har fokus på persondataforordningen, hvis du ønsker at vide mere omkring dette, er du velkommen til at kontakte Bent Bro Miltersen som er Leoni Advokaters ekspert på området.

Nærværende materiale er udarbejdet til undervisningsbrug og kan ikke anvendes i forbindelse med løsning af konkrete problemstillinger. Såfremt du ønsker konkret rådgivning inden for persondataret, opfordres man til at henvende sig til Leoni Advokater med spørgsmål og problemstillinger.