Ábyrgðaraðili eða vinnsluaðili gagna

Hvað er gagnastýring?

Ábyrgðaraðili ákvarðar tilgang og aðferðir við vinnslu persónuupplýsinga. Með öðrum orðum ákveður ábyrgðaraðilinn hvernig og hvers vegna gagnavinnsluaðgerð er. Ábyrgðaraðili gagna getur verið lögaðili, t.d. fyrirtæki, lítið eða meðalstórt fyrirtæki, opinbert yfirvald, stofnun eða annar aðili.

Í ákveðnum tilvikum er hægt að ákvarða tilgang og aðferðir við vinnslu persónuupplýsinga, sem og ábyrgðaraðila, í lögum ESB eða lögum aðildarríkis.

Hvað er sameiginleg stjórnandi?

Þegar tveir eða fleiri ábyrgðaraðilar gagna ákveða sameiginlega tilgang og aðferðir við vinnslu teljast þeir sameiginlegir ábyrgðaraðilar. Þeir ákveða saman að vinna persónuupplýsingar í sameiginlegum tilgangi. Sameiginleg ábyrgð getur verið á marga vegu og þátttaka mismunandi ábyrgðaraðila getur verið ójöfn. Sameiginlegir ábyrgðaraðilar verða því að ákveða ábyrgð sína á því að farið sé að GDPR.

Hver er ábyrgð ábyrgðaraðila eða sameiginlegs ábyrgðaraðila?

Við ákvörðun um tilgang og aðferðir við vinnslu persónuupplýsinga verður ábyrgðaraðili eða sameiginlegir ábyrgðaraðilar að tryggja að persónuupplýsingar einstaklinga séu verndaðar. Til að ná þessu fram verður ábyrgðaraðilinn, eða sameiginlegir ábyrgðaraðilar, að gera ráðstafanir til að vernda persónuupplýsingar og gera einstaklingum kleift að neyta réttar síns. Frekari upplýsingar er að finna í "Skrá um ábyrgð umsjónarmanns/eftirlitsaðila".

Hvað er gagnavinnsluforrit?

Vinnsluaðili starfar samkvæmt fyrirmælum ábyrgðaraðila eingöngu með því að vinna persónuupplýsingar fyrir hönd ábyrgðaraðila.

Líkt og ábyrgðaraðili eða sameiginlegur ábyrgðaraðili getur gagnavinnsluaðili verið lögaðili, t.d. fyrirtæki, lítið eða meðalstórt fyrirtæki, opinbert yfirvald, stofnun eða aðrir aðilar.

Hvað er undirverktaki?

Undirverktaki starfar samkvæmt fyrirmælum vinnsluaðila, þ.e. að hann geti unnið persónuupplýsingar einstaklinga fyrir hönd vinnsluaðilans. Undirverktaki getur verið lögaðili, t.d. fyrirtæki, lítið eða meðalstórt fyrirtæki, opinbert yfirvald, stofnun eða annar aðili.

Til að hafa í huga er aðeins hægt að tilnefna undirverktaka ef ábyrgðaraðili, eða sameiginlegur stjórnandi, heimilar það skriflega. Ef svo er verður vinnsluaðilinn að gera bindandi samning við undirverktakann þar sem gerð er grein fyrir ábyrgð undirverktakans. Þessi vinnsluaðili-undirverktaki verður að sjá til þess að persónuupplýsingar einstaklinga njóti sömu verndar og upphaflegur verktakaverktaki.

Hver er ábyrgð vinnsluaðila?

Þó að heildarábyrgðin liggi almennt hjá ábyrgðaraðila gagna, hafa gagnavinnsluaðilar einnig ákveðna ábyrgð samkvæmt GDPR. Vinnsluaðilar verða að framkvæma vinnsluaðgerðirnar með viðeigandi tæknilegum og skipulagslegum ráðstöfunum sem ábyrgðaraðili eða sameiginlegur ábyrgðaraðili hefur gefið fyrirmæli um. Við það aðstoðar vinnsluaðilinn ábyrgðaraðilann við að fara að almennu persónuverndarreglugerðinni.

Tengsl ábyrgðaraðila og vinnsluaðila, þ.m.t. ábyrgð vinnsluaðila, verða að falla undir samning þar sem vinnsluaðgerðir og aðferðir við vinnslu persónuupplýsinga eru skjalfestar. Frekari upplýsingar er að finna í "gátlista yfir ábyrgð vinnsluaðila".

Hvað á að fela í stjórnandi-örgjörva samning?

Í samningi milli ábyrgðaraðila eða sameiginlegs ábyrgðaraðila og vinnsluaðila verður að mæla fyrir um að gagnavinnsluaðilinn:

• vinnur persónuupplýsingarnar eingöngu samkvæmt fyrirmælum ábyrgðaraðila, þ.m.t. með tilliti til flutnings persónuupplýsinga til lands utan EES;
• tryggi að þeir einstaklingar, sem hafa heimild til að vinna gögnin, hafi skuldbundið sig til trúnaðar eða séu háðir viðeigandi lögboðnum trúnaðarkvöðum,
• tryggir öryggi vinnslunnar,
• skulu ekki ráða annan gagnavinnsluaðila nema fyrir liggi sérstök eða almenn skrifleg heimild ábyrgðaraðila gagna sem hefur raunhæfan möguleika á að andmæla,
• aðstoðar ábyrgðaraðila gagna við að uppfylla skyldur ábyrgðaraðila um að bregðast við beiðnum einstaklings um að neyta réttar síns,
• aðstoðar ábyrgðaraðila gagna við að tryggja vinnslu, tilkynna gögn brot, og framkvæma DPIAs;
• að vali ábyrgðaraðila gagna, eyðir eða skilar öllum persónuupplýsingum til ábyrgðaraðila gagna eftir að þjónustustarfsemi lýkur,
• geri ábyrgðaraðila gagna aðgengilegar öllum nauðsynlegum upplýsingum til að sýna fram á að skyldur samkvæmt GDPR séu uppfylltar,
• gerir ráð fyrir og stuðlar að úttektum, þ.m.t. skoðunum sem ábyrgðaraðili gagna framkvæmir eða annar endurskoðandi sem ábyrgðaraðili gagna hefur gefið fyrirmæli um.

Hvað á að fela í örgjörva — undirverktaka samning?

Í samningi milli vinnsluaðila og undirverktaka verða að vera sérstök ákvæði sem tryggja að persónuupplýsingarnar sem á að vinna verði verndaðar á sama hátt og kveðið er á um í ábyrgðaraðila-vinnslusamningi.

Hver er ábyrgur fyrir hverjum?

Ábyrgðaraðili, eða sameiginlegur ábyrgðaraðili, ber ábyrgð á því að farið sé að GDPR og að vinnsluaðilinn, sem valinn er, sé í samræmi við persónuverndarlögin. Í raun, ef vinnsluaðili er í bága við skyldur sínar samkvæmt GDPR, gæti ábyrgðaraðili, eða sameiginlegur ábyrgðaraðili, verið ábyrgur, og sæta sektum og öðrum afleiðingum ef við á.

Vinnsluaðili er ábyrgur fyrir bæði eigin samræmi við GDPR og getur verið ábyrgur gagnvart ábyrgðaraðila fyrir brot á verktaka-vinnslusamningi. Vinnsluaðili getur einnig verið ábyrgur gagnvart ábyrgðaraðila vegna brota af völdum undirverktaka.

Gátlisti yfir ábyrgð

Gátlisti ábyrgðarmanns eða sameiginlegs ábyrgðaraðila

• Samræmi við meginreglur um gagnavernd skv. 5. gr. GDPR
• Að vernda réttindi einstaklinga til gagnaverndar
• Halda skrár yfir vinnsluaðgerðir
• Að tryggja öryggi vinnslu
• Velja viðeigandi gagnavinnsluaðila
• Nánari upplýsingar í bindandi samningi sem stjórnandi-örgjörva sambandið
• Tilkynningar um brot er varða persónuupplýsingar til viðkomandi persónuverndarstofnunar EES og einstaklinga, þar sem við á
• Að vera ábyrgur fyrir vinnsluaðgerðum, æfa gagnavernd með hönnun og sjálfgefna, framkvæma mat á áhrifum á persónuvernd þegar þörf krefur
• Að tilnefna persónuverndarfulltrúa þegar þörf krefur
• Að farið sé að skuldbindingum um gagnavernd í tengslum við alþjóðlega miðlun persónuupplýsinga
• Samstarf við gagnaverndaryfirvöld

Gátlisti fyrir ábyrgð vinnsluaðila

• Fylgja leiðbeiningum stjórnanda
• Halda skrár yfir vinnsluaðgerðir
• Að tryggja öryggi vinnslu
• Virða og viðhalda bindandi ábyrgðaraðila-örgjörva samning
• Fá leyfi stjórnanda áður en þú tekur þátt í nýjum undirverktaka (og gefa stjórnandi möguleika á að mótmæla). Ef við á verður að koma á fót vinnsluaðila — undirverktakasamningi og jafngilda upphaflegum verktakasamningi
• Tilkynningar um brot er varða persónuupplýsingar til ábyrgðaraðila gagna
• Tilkynning um brot á GDPR til ábyrgðaraðila
• Að bera ábyrgð á vinnsluaðgerðunum: t.d. að æfa gagnavernd eftir hönnun og sjálfgefið
• Að tilnefna persónuverndarfulltrúa þegar þörf krefur
• Tryggja að alþjóðlegar millifærslur séu heimilaðar af ábyrgðaraðila og að farið sé að GDPR
• Samstarf við gagnaverndaryfirvöld