Ábyrgðaraðili eða vinnsluaðili

Hvað er ábyrgðaraðili?

Ábyrgðaraðili ákvarðar tilgang og aðferðir við vinnslu persónuupplýsinga. Með öðrum orðum ákveður ábyrgðaraðilinn hvers vegna og hvernig vinnsluaðgerð fer fram. Ábyrgðaraðili getur verið lögaðili, t.d. fyrirtæki, lítið eða meðalstórt fyrirtæki, opinbert yfirvald, stofnun eða annar aðili.

Í ákveðnum tilvikum er kveðið á um tilgang og aðferðir við vinnslu persónuupplýsinga, sem og ábyrgðaraðila, í lögum ESB eða lögum aðildarríkis.

Hvað eru sameiginlegir ábyrgðaraðilar?

Þegar tveir eða fleiri ábyrgðaraðilar ákveða sameiginlega tilgang og aðferðir við vinnslu teljast þeir sameiginlegir ábyrgðaraðilar. Þeir ákveða saman að vinna persónuupplýsingar í sameiginlegum tilgangi. Sameiginleg ábyrgð getur verið á marga vegu og þátttaka ólíkra ábyrgðaraðila getur verið mismikil. Sameiginlegir ábyrgðaraðilar verða því að ákveða hver ábyrgð hvors um sig sé til að uppfylla skyldur persónuverndarreglugerðarinnar.

Hverjar eru skyldur ábyrgðaraðila eða sameiginlegs ábyrgðaraðila?

Við ákvörðun um tilgang og aðferðir við vinnslu persónuupplýsinga verður ábyrgðaraðili eða sameiginlegir ábyrgðaraðilar að tryggja að persónuupplýsingar einstaklinga séu verndaðar. Til að svo sé hægt verður ábyrgðaraðilinn, eða sameiginlegir ábyrgðaraðilar, að gera ráðstafanir til að vernda persónuupplýsingar og gera einstaklingum kleift að neyta réttar síns.
Frekari upplýsingar er að finna í „Gátlista um ábyrgð ábyrgðaraðila / sameiginlegs ábyrgðaraðila“
 

Hvað er vinnsluaðili?

Vinnsluaðili vinnur með persónuupplýsingar  fyrir hönd ábyrgðaraðila og einungis samkvæmt hans fyrirmælum.

Líkt og ábyrgðaraðili eða sameiginlegur ábyrgðaraðili getur vinnsluaðili verið lögaðili, t.d. fyrirtæki, lítið eða meðalstórt fyrirtæki, opinbert yfirvald, stofnun eða annar aðili.

Hvað er undirvinnsluaðili?

Undirvinnsluaðili starfar samkvæmt fyrirmælum vinnsluaðila, sem þýðir að hann getur unnið persónuupplýsingar einstaklinga fyrir hönd vinnsluaðilans. Undirvinnsluaðili getur verið lögaðili, t.d. fyrirtæki, lítið eða meðalstórt fyrirtæki, opinbert yfirvald, stofnun eða annar aðili.

Vel að merkja er aðeins hægt að tilnefna undirvinnsluaðila ef ábyrgðaraðili, eða sameiginlegur ábyrgðaraðili, veitir skriflega heimild fyrir því. Ef svo er verður vinnsluaðilinn að gera bindandi samning við undirvinnsluaðilann þar sem gerð er grein, með nákvæmum hætti, fyrir ábyrgð undirvinnsluaðilans. Í samninginum milli vinnsluaðilans og undirvinnsluaðilans verður að sjá til þess að persónuupplýsingar einstaklinga njóti sömu verndar og  í upprunalega vinnslusamningi ábyrgðar- og vinnsluaðilans.

Hver er ábyrgð vinnsluaðila?

Þó að meginábyrgðin sé hjá ábyrgðaraðila bera vinnsluaðilar einnig ákveðna ábyrgð samkvæmt persónuverndarreglugerðinni. Vinnsluaðilar verða að framkvæma vinnsluaðgerðirnar með viðeigandi tæknilegum og skipulagslegum ráðstöfunum sem ábyrgðaraðili eða sameiginlegur ábyrgðaraðili hefur gefið fyrirmæli um. Þannig aðstoðar vinnsluaðilinn ábyrgðaraðilann við að fara að persónuverndarreglugerðinni.

Kveða verður á um samband ábyrgðaraðila og vinnsluaðila, þ.m.t. ábyrgð vinnsluaðila, í skriflegum samningi þar sem vinnsluaðgerðir og aðferðir við vinnslu persónuupplýsinga eru skjalfestar. Frekari upplýsingar er að finna í „gátlista yfir ábyrgð vinnsluaðila“.

Hvað á að vera í vinnslusamningi?

Í samningi milli ábyrgðaraðila eða sameiginlegs ábyrgðaraðila og vinnsluaðila verður að mæla fyrir um að vinnsluaðilinn:

• vinni persónuupplýsingarnar eingöngu samkvæmt fyrirmælum ábyrgðaraðila, þ.m.t. með tilliti til flutnings persónuupplýsinga til lands utan EES,
• tryggi að þeir einstaklingar, sem hafa heimild til að vinna gögnin, hafi skuldbundið sig til trúnaðar eða séu háðir viðeigandi lögboðinni trúnaðarskyldu,
• tryggi öryggi vinnslunnar,
• skuli ekki ráða annan vinnsluaðila nema fyrir liggi sérstök eða almenn skrifleg heimild ábyrgðaraðila sem hefur raunhæfan möguleika á að andmæla,
• aðstoði ábyrgðaraðilann við að uppfylla skyldur hans um að bregðast við beiðnum einstaklings um að neyta réttar síns,
• aðstoði ábyrgðaraðila við að tryggja vinnslu, tilkynna öryggisbresti, og framkvæma mat á áhrifum á persónuvernd („MÁP“),
• að vali ábyrgðaraðila, eyði eða skili öllum persónuupplýsingum til ábyrgðaraðila eftir að þjónustu lýkur,
• geri allar nauðsynlegar upplýsingar aðgengilegar ábyrgðaraðila til að sýna fram á að skyldur samkvæmt persónuverndarreglugerðinni séu uppfylltar,
• leyfi og aðstoði við úttektir, þ.m.t. skoðanir sem ábyrgðaraðili framkvæmir eða annar eftirlitsaðili sem ábyrgðaraðili hefur gefið fyrirmæli um.

Hvað á að vera í undirvinnslusamningi?

Í samningi milli vinnsluaðila og undirvinnsluaðila verða að vera sérstök ákvæði sem tryggja að persónuupplýsingarnar sem á að vinna með verði verndaðar á sama hátt og kveðið er á um í vinnslusamningi milli ábyrgðar- og vinnsluaðila.

Hver er ábyrgur gagnvart hverjum?

Ábyrgðaraðili, eða sameiginlegur ábyrgðaraðili, ber ábyrgð á því að farið sé að persónuverndarreglugerðinni og að vinnsluaðilinn, sem valinn er, starfi samkvæmt lögum. Það þýðir að ef vinnsluaðili fer í bága við skyldur sínar samkvæmt persónuverndarreglugerðinni, gæti ábyrgðaraðili, eða sameiginlegur ábyrgðaraðili, talist ábyrgur, og sætt sektum og öðrum afleiðingum ef við á.

Vinnsluaðili er ábyrgur, bæði ef hann brýtur gegn persónuverndarreglugerðinni og gagnvart ábyrgðaraðila ef hann brýtur gegn vinnslusamningi. Vinnsluaðili getur einnig verið gerður ábyrgur gagnvart ábyrgðaraðila vegna brota af völdum undirvinnsluaðila. 

Gátlisti yfir skyldur

Gátlisti ábyrgðaraðila eða sameiginlegs ábyrgðaraðila

• Fylgja meginreglum um vinnslu persónuupplýsinga skv. 5. gr. persónuverndarreglugerðarinnar
• Vernda réttindi einstaklinga til persónuverndar
• Halda skrár yfir vinnsluaðgerðir
• Tryggja öryggi vinnslu
• Velja viðeigandi vinnsluaðila
• Kveða á um samband ábyrgðaraðila og vinnsluaðila í vinnslusamningi
• Tilkynna öryggisbresti til viðkomandi persónuverndarstofnunar á EES og einstaklinga, þar sem við á
• Vera ábyrgur fyrir vinnsluaðgerðum, tryggja innbyggða og sjálfgefna persónuvernd, framkvæma mat á áhrifum á persónuvernd þegar þörf krefur
• Tilnefna persónuverndarfulltrúa þegar þörf krefur
• Fara að skuldbindingum um persónuvernd í tengslum við miðlun persónuupplýsinga yfir landamæri
• Stuðla að samstarfi við persónuverndaryfirvöld

Gátlisti um skyldur vinnsluaðila

• Fylgja leiðbeiningum ábyrgðaraðila
• Halda skrár yfir vinnsluaðgerðir
• Tryggja öryggi vinnslu
• Virða og viðhalda bindandi vinnslusamningi
• Fá leyfi ábyrgðaraðila áður en þú ræður nýjan undirvinnsluaðila (og gefa ábyrgðaraðila möguleika á að andmæla). Ef við á verður að gera undirvinnslusamning sem jafngildir upphaflegum vinnslusamningi
• Tilkynna ábyrgðaraðila um öryggisbresti 
• Tilkynna ábyrgðaraðila um brot á persónuverndarreglugerðinni 
• Bera ábyrgð á vinnsluaðgerðunum: t.d.  með því að tryggja innbyggða og sjálfgefna persónuvernd
• Tilnefna persónuverndarfulltrúa þegar þörf krefur
• Tryggja að alþjóðleg miðlun persónuupplýsinga sé heimiluð af ábyrgðaraðila og að farið sé að persónuverndarreglugerðinni
• Samstarf við persónuverndaryfirvöld