I denne artikel får du en enkel forklaring, en kort tjekliste og en række letforståelige eksempler, så du hurtigt kan finde ud af, hvilken rolle din virksomhed har.

Hvorfor bliver mange forvirrede?

Vi møder ofte virksomheder, der siger: “Vi behandler personoplysninger, så vi må være databehandler“ . Det lyder logisk, men det er faktisk en af de mest almindelige misforståelser.

Næsten alle virksomheder behandler personoplysninger hver eneste dag som fx medarbejderoplysninger, kundedata, fakturaer, nyhedsbreve, kundehenvendelser, kontrakter og lønadministration og meget mere.

Det gør dem ikke til databehandlere. Det afgørende er ikke, om du behandler personoplysninger. Det afgørende er, hvorfor du behandler dem, og hvem der bestemmer det.

Hvem bestemmer? Den vigtigste tommelfingerregel

Når du skal afgøre rollen, kan du stille tre simple spørgsmål:

• Hvem indsamler oplysningerne?
• Hvem bestemmer, hvorfor de bruges?
• Hvem bestemmer, hvilke oplysninger der skal bruges?

Hvis svaret er din virksomhed, er du typisk dataansvarlig.

Hvis du derimod behandler oplysningerne for en kunde og efter kundens instrukser, er du typisk databehandler.

Kort sagt: Den der indsamler og bestemmer, er dataansvarlig. Den der hjælper, er databehandler.

Hvad er en dataansvarlig?

En dataansvarlig er den virksomhed, der:

• indsamler personoplysningerne
• bestemmer formålet med behandlingen
• beslutter hvilke oplysninger der er nødvendige
• bestemmer hvor længe oplysningerne skal gemmes
• har det overordnede ansvar for behandlingen

Eksempel: Frisørsalonen

En frisørsalon registrerer kundernes navn, telefonnummer og bookinghistorik. Salonen indsamler oplysningerne selv og bestemmer, hvorfor de skal bruges.

Derfor er frisørsalonen dataansvarlig.

Hvad er en databehandler?

En databehandler behandler personoplysninger på vegne af en dataansvarlig. Databehandleren bestemmer ikke formålet med behandlingen, men hjælper med at udføre en opgave.

Eksempel: Bookingsystem

Frisørsalonen bruger et online bookingsystem. Leverandøren opbevarer oplysningerne for frisørsalonen, men bestemmer ikke selv, hvilke kunder der registreres eller hvorfor.

Derfor er systemleverandøren typisk databehandler.

Eksempler fra hverdagen

Lønsystem

Frisørsalonen bruger et online bookingsystem. Bookingsystemet gemmer kundernes oplysninger for frisørsalonen. Systemleverandøren bestemmer ikke, hvilke kunder der skal registreres eller hvorfor. Systemleverandøren er derfor databehandler.

En virksomhed registrerer medarbejdernes oplysninger i et lønsystem. Virksomheden:

• indsamler oplysningerne
• bestemmer formålet
• bestemmer hvilke medarbejdere der skal registreres

Derfor er virksomheden dataansvarlig.

Lønsystemet hjælper med behandlingen og er typisk databehandler.

Bogholder

En ekstern bogholder modtager oplysninger om kunder, medarbejdere og bilag for at bogføre for virksomheden. Virksomheden bestemmer stadig:

• hvorfor oplysningerne behandles
• hvilke oplysninger der skal bruges
• hvad bogholderen skal gøre

Bogholderen behandler derfor oplysningerne på virksomhedens vegne. I den situation vil bogholderen typisk være databehandler.

Revisor

En revisor er ofte i en anden situation. Når revisor udarbejder:

• årsregnskaber
• skatteopgørelser
• revisionspåtegninger
• erklæringsopgaver

sker arbejdet som led i revisors selvstændige faglige og lovbestemte ansvar. Revisor er blandt andet underlagt krav i eksempelvis årsregnskabsloven, skattelovgivningen eller revisorloven. Her vil revisor derfor typisk være selvstændigt dataansvarlig for behandlingen.

IT-leverandør

En IT-leverandør driver en kundes servere og systemer. Kunden bestemmer:

• formålet
• hvilke data der opbevares
• hvor længe de skal gemmes

IT-leverandøren hjælper med driften. Derfor er kunden dataansvarlig, mens IT-leverandøren typisk er databehandler.

Marketingbureau

Hvis et marketingbureau alene udsender nyhedsbreve på vegne af en kunde og arbejder efter kundens instrukser, vil bureauet typisk være databehandler. Det afgørende er stadig det samme: Hvem indsamler og bestemmer?

Kan man være begge dele?

Ja, den samme virksomhed kan sagtens være både dataansvarlig og databehandler. Det er faktisk meget almindeligt. Det kan fx være et lønbureau med en række medarbejdere ansat.

Når det handler om medarbejdernes oplysninger er lønbureauet dataansvarlig, men når lønbureauet behandler lønoplysninger for sine kunder, er det databehandler. Internt er virksomheden ansvarlig, og overfor eksterne kunder er den databehandler. Virksomheden kan altså have begge roller på samme tid, afhængigt af situationen.

Husk dog, at stort set alle virksomheder som udgangspunkt er dataansvarlige – og at kun en brøkdel reelt arbejder som databehandlere.

Ansvar kan ikke udliciteres

Mange virksomheder tror fejlagtigt, at deres IT-system eller softwareleverandør af fx et bookingsystem har ansvaret for personoplysningerne. Det er sjældent tilfældet.

Hvis din virksomhed bestemmer, hvorfor oplysningerne bruges, kan ansvaret som udgangspunkt ikke bare sendes videre til en leverandør. Derfor er det vigtigt at vide, hvilken rolle du har. Det giver tryghed og hjælper dig med at sikre, at virksomhedens behandling af personoplysninger foregår korrekt.

Husk også databehandleraftalen

Når en dataansvarlig bruger en databehandler, skal der normalt være en aftale mellem parterne om, hvordan personoplysningerne behandles. Aftalen beskriver blandt andet:

• Hvilke oplysninger der behandles
• Hvad oplysningerne må bruges til
• Hvordan de beskyttes
• Hvilke instruktioner databehandleren skal følge

Det skaber klarhed for begge parter og mindsker risikoen for fejl.

Så hvordan var det lige…?

Hvis du kun skal huske én ting, så lad det være dette: Den der indsamler og bestemmer, er dataansvarlig. Den der hjælper, er databehandler.

Langt de fleste små og mellemstore virksomheder er dataansvarlige, selvom de behandler personoplysninger hver dag.

Det afgørende er nemlig ikke, om man behandler personoplysninger. Det afgørende er, om man indsamler oplysningerne og bestemmer, hvorfor og hvordan de skal behandles.

Når du kender forskellen, bliver det langt lettere at få styr på ansvaret og skabe tryghed omkring håndteringen af personoplysninger i virksomheden.

Kort tjekliste

Du er sandsynligvis dataansvarlig hvis:

✅ Du indsamler oplysningerne
✅ Du bestemmer formålet
✅ Du bestemmer hvilke oplysninger der skal bruges
✅ Du har relationen til kunden eller medarbejderen

Du er sandsynligvis databehandler hvis:

✅ Du behandler oplysninger for en kunde
✅ Kunden bestemmer formålet
✅ Du følger kundens instrukser
✅ Du bruger ikke oplysningerne til egne formål