Databehandler

En databehandler er en virksomhed, myndighed eller anden organisation, der behandler personoplysninger på vegne af en dataansvarlig. Databehandleren handler efter den dataansvarliges dokumenterede instrukser og må som udgangspunkt ikke bruge oplysningerne til egne formål.

Hvorfor er begrebet vigtigt?

Databehandlerrollen er vigtig, fordi mange virksomheder overlader tekniske eller administrative opgaver til eksterne leverandører. Det kan eksempelvis være hosting, backup, lønadministration, support eller cloudtjenester, hvor leverandøren behandler personoplysninger for kunden.

For virksomheder er rollen relevant ved databehandleraftaler, leverandørstyring, sikkerhed, underdatabehandlere, sletning, dokumentation, tilsyn og håndtering af sikkerhedsbrud.

Typisk misforståelse

Den mest almindelige fejl er at tro, at enhver leverandør med adgang til personoplysninger automatisk er databehandler. Rollen afhænger af den konkrete ydelse og af, om leverandøren faktisk behandler oplysningerne på vegne af og efter instruks fra den dataansvarlige.

Eksempel

En virksomhed bruger en ekstern leverandør til at hoste sit kundesystem. Virksomheden bestemmer formålet med behandlingen, mens leverandøren opbevarer og behandler oplysningerne efter virksomhedens instrukser. Leverandøren er derfor typisk databehandler.

Best practice

• Afklar rollefordelingen, før behandlingen begynder.

• Indgå en databehandleraftale med klare instrukser.

• Begræns behandlingen til det aftalte formål og omfang.

• Dokumentér sikkerhedsforanstaltninger og brug af underdatabehandlere.

• Hjælp den dataansvarlige med relevante rettigheder og sikkerhedsbrud.