Dataansvarlig

En dataansvarlig er den virksomhed, myndighed eller organisation, der bestemmer, hvorfor personoplysninger skal behandles, og hvordan behandlingen overordnet skal foregå. Rollen følger den faktiske beslutningskompetence og ikke kun, hvad parterne kalder sig i en aftale.

Hvorfor er begrebet vigtigt?

Den dataansvarlige har ansvaret for, at behandlingen af personoplysninger sker lovligt, rimeligt og gennemsigtigt. Det omfatter blandt andet valg af formål, behandlingsgrundlag, adgang, opbevaring, sikkerhed, sletning og håndtering af de registreredes rettigheder.

For virksomheder er rollen relevant ved kunderegistre, medarbejderdata, hjemmesider, markedsføring, cloudtjenester, databehandleraftaler, sikkerhedsbrud og samarbejde med eksterne leverandører.

Typisk misforståelse

Den mest almindelige fejl er at tro, at en IT-leverandør automatisk bliver dataansvarlig, fordi leverandøren driver systemet. Hvis virksomheden bestemmer formålet med behandlingen og de væsentlige rammer, vil virksomheden normalt fortsat være dataansvarlig.

Eksempel

En virksomhed bruger et eksternt lønsystem til medarbejderoplysninger. Virksomheden bestemmer, hvorfor oplysningerne behandles, hvilke medarbejdere der registreres, og hvor længe oplysningerne skal gemmes. Virksomheden er derfor dataansvarlig, mens leverandøren typisk er databehandler.

Best practice

• Kortlæg hvilke behandlinger virksomheden er dataansvarlig for.

• Dokumentér formål, behandlingsgrundlag og opbevaringsperioder.

• Begræns adgang og indsamling til det nødvendige.

• Vurder og før tilsyn med relevante databehandlere.

• Fastlæg procedurer for rettigheder, sletning og sikkerhedsbrud.