I denne artikel får du en enkel forklaring, en kort tjekliste og en række letforståelige eksempler, så du hurtigt kan finde ud af, hvilken rolle din virksomhed har.

Kort fortalt: Hvem bestemmer?

Den nemmeste måde at forstå forskellen på er at stille ét spørgsmål: Hvem bestemmer, hvorfor og hvordan personoplysninger skal bruges?

Hvis det er din virksomhed, er du dataansvarlig. Hvis du behandler oplysningerne på vegne af en anden virksomhed, er du databehandler.

Tænk på et lønsystem

Forestil dig, at din virksomhed har 15 medarbejdere og bruger et online lønsystem. Virksomheden registrerer medarbejdernes navn, adresse, CPR-nummer og lønoplysninger, og bestemmer selv…

• Hvilke oplysninger der skal registreres
• Hvorfor de skal bruges
• Hvem oplysningerne vedrører

Derfor er virksomheden dataansvarlig.

Lønsystemet opbevarer og behandler oplysningerne for virksomheden. Systemleverandøren må ikke bruge oplysningerne til sine egne formål, men skal følge virksomhedens instruktioner.

Derfor er leverandøren af lønsystemet databehandler.

En nem huskeregel

Det er den dataansvarlige, der har oplysningerne og bestemmer, hvad de skal bruges til. Databehandleren hjælper med at behandle dem, sådan som den dataansvarlige ønsker.

På den måde kan man sige, at den dataansvarlige er kunden, mens databehandleren er den leverandør, som hjælper kunden med at håndtere oplysningerne.

Hvad er en dataansvarlig?

En dataansvarlig er den virksomhed eller person, som beslutter:

• Hvilke personoplysninger der skal indsamles
• Hvorfor de skal bruges
• Hvor længe de skal gemmes
• Hvem der må få adgang til dem

Den dataansvarlige har derfor det overordnede ansvar for, at oplysningerne behandles korrekt.

Eksempel

En frisørsalon registrerer kundernes navn, telefonnummer og bookinghistorik. Salonen vælger selv at registrere oplysningerne for at kunne håndtere aftaler med kunderne. Frisørsalonen er derfor dataansvarlig.

Hvad er en databehandler?

En databehandler behandler personoplysninger for en dataansvarlig. Databehandleren må ikke selv bestemme formålet med behandlingen. Vedkommende udfører blot en opgave efter instruktion.

Eksempel

Frisørsalonen bruger et online bookingsystem. Bookingsystemet gemmer kundernes oplysninger for frisørsalonen. Systemleverandøren bestemmer ikke, hvilke kunder der skal registreres eller hvorfor. Systemleverandøren er derfor databehandler.

Den ultrakorte tjekliste

Du er sandsynligvis dataansvarlig, hvis:

• Du bestemmer, hvilke oplysninger der skal bruges
• Du bestemmer, hvorfor de skal bruges
• Du har kontakten til kunderne eller medarbejderne

Spørg: Hvorfor bliver oplysningerne indsamlet? Hvis du kan svare på det, er du sandsynligvis dataansvarlig.

Du er sandsynligvis databehandler, hvis:

• Du behandler oplysninger for en anden virksomhed
• Du følger deres instruktioner
• Du bestemmer ikke selv formålet med behandlingen

Spørg: Behandler jeg oplysningerne for en kunde eller samarbejdspartner? Hvis ja, er du sandsynligvis databehandler.

Huskereglen

• Bestemmer = Dataansvarlig
• Hjælper = Databehandler

Enkle eksempler fra hverdagen

Eksempel 1: Bogholder

En virksomhed sender medarbejderoplysninger til en bogholder.

• Virksomheden bestemmer formålet.
• Bogholderen hjælper med opgaven.

I denne situation vil virksomheden typisk være dataansvarlig, mens bogholderen, der her behandler oplysninger på virksomhedens vegne, er databehandler.

Eksempel 2: Lønsystem

En virksomhed anvender et online lønsystem.

• Virksomheden registrerer medarbejderne.
• Lønsystemet opbevarer oplysningerne.

Virksomheden er dataansvarlig. Leverandøren af lønsystemet er databehandler.

Eksempel 3: IT-leverandør

En IT-virksomhed drifter en kundes servere.

Under support kan IT-virksomheden få adgang til personoplysninger.

• Kunden bestemmer formålet.
• IT-virksomheden udfører arbejdet.

Kunden er dataansvarlig. IT-leverandøren er databehandler.

Når det bliver lidt mere komplekst

Forestil dig et marketingbureau. En virksomhed benytter marketingbureauet til at stå for den tekniske udsendelse af deres nyhedsbrev til en defineret modtagerliste, som kunden sender. Marketingbureauet vil i denne situation typisk optræde alene som ekstern leverandør af en ydelse, og er derfor ikke databehandler.

Men hvis virksomheden har udliciteret hele deres nyhedsbrev til bureauet inkl. indhold, distribution, opfølgning og opdatering af modtagerliste, begynder bureauet at behandle kundens data, og de bliver så databehandler.

Kan man være begge dele?

Ja, den samme virksomhed kan sagtens være både dataansvarlig og databehandler. Det er faktisk meget almindeligt. Det kan fx være et lønbureau med en række medarbejdere ansat.

Når det handler om medarbejdernes oplysninger er lønbureauet dataansvarlig, men når lønbureauet behandler lønoplysninger for sine kunder, er det databehandler. Internt er virksomheden ansvarlig, og overfor eksterne kunder er den databehandler. Virksomheden kan altså have begge roller på samme tid, afhængigt af situationen.

Husk dog, at stort set alle virksomheder som udgangspunkt er dataansvarlige – og at kun en brøkdel reelt arbejder som databehandlere.

Ansvar kan ikke udliciteres

Mange virksomheder tror fejlagtigt, at deres IT-system eller softwareleverandør har ansvaret for personoplysningerne. Det er sjældent tilfældet.

Hvis din virksomhed bestemmer, hvorfor oplysningerne bruges, kan ansvaret som udgangspunkt ikke bare sendes videre til en leverandør. Derfor er det vigtigt at vide, hvilken rolle du har. Det giver tryghed og hjælper dig med at sikre, at virksomhedens behandling af personoplysninger foregår korrekt.

Husk også databehandleraftalen

Når en dataansvarlig bruger en databehandler, skal der normalt være en aftale mellem parterne om, hvordan personoplysningerne behandles. Aftalen beskriver blandt andet:

• Hvilke oplysninger der behandles
• Hvad oplysningerne må bruges til
• Hvordan de beskyttes
• Hvilke instruktioner databehandleren skal følge

Det skaber klarhed for begge parter og mindsker risikoen for fejl.

Så hvordan var det lige…?

Hvis du kun skal huske én ting, så lad det være dette:

Den dataansvarlige bestemmer over personoplysningerne. Databehandleren hjælper med at behandle dem.

For de fleste små og mellemstore virksomheder betyder det, at virksomheden selv er dataansvarlig, mens leverandører af IT-systemer, cloud-løsninger, lønsystemer og lignende ofte er databehandlere.

Når du kender forskellen, bliver det langt lettere at få styr på ansvaret og skabe tryghed omkring håndteringen af personoplysninger i virksomheden.