Jurainfo logo
LUK
Juridiske nyheder Kurser Find juridisk specialist Jobbørs Domme
Om Jurainfo Podcasts Juridiske links Privatlivspolitik Kontakt
Ansøg om en profil Bliv kursusudbyder Bliv jobannoncør
Artikel

Ny afgørelse placerer ansvar hos databehandler: Handlede uden instruks

Bech Bruun
27/01/2020
Ny afgørelse placerer ansvar hos databehandler: Handlede uden instruks
Bech Bruun logo
Datatilsynet har statueret dataansvar for en virksomhed, der som (under)databehandler har videregivet personoplysninger til en underdatabehandler uden instruks. Datatilsynet udtaler alvorlig kritik, idet tilsynet konkluderer, at virksomheden ikke havde et juridisk grundlag til at behandle oplysningerne som sket.

En virksomhed, som var underdatabehandler for en kommune, benyttede uden aftale med kommunen en underleverandør som underdatabehandler. Dette selv om aftalen med kommunen krævede specifik godkendelse til benyttelse af yderligere underdatabehandlere.

Datatilsynet konkluderede, at virksomheden ved videregivelse af personoplysninger til underdatabehandleren havde handlet uden for instruks.

Det var Datatilsynets vurdering, at virksomheden ved selv at fastsætte formålet med behandlingen blev dataansvarlig for videregivelsen af personoplysninger.

Virksomheden havde i sin funktion som underdatabehandler overtrådt databeskyttelsesforordningens artikel 28, stk. 2, ved at videregive personoplysningerne til en leverandør, der ikke forudgående var godkendt af den datansvarlige.

Virksomheden havde som dataansvarlig ikke haft juridisk grundlag, jf. databeskytttelsesforordningens artikel 6, stk. 1, og databeskyttelseslovens § 11, stk. 2, til at overføre personoplysningerne til underdatabehandleren.

Virksomheden havde heller ikke juridisk grundlag til at overføre personoplysningerne til tredjelande, jf. databeskyttelsesforordningens artikel 44, stk. 1, da overførsel kun må finde sted, hvis betingelserne i databeskyttelsesforordningens kapitel 5 med forbehold for de øvrige bestemmelser i forordningen er opfyldt.

Datatilsynet udtalte på den baggrund alvorlig kritik af, at virksomhedens behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 6, stk. 1, og databeskyttelseslovens § 11, stk. 2, jf. databeskyttelsesforordningens artikel 28, stk. 10, jf. artikel 28, stk. 2, og artikel 44, stk. 1.

I forhold til graden af kritik har Datatilsynet lagt vægt på, at der er tale om et højt antal berørte registrerede, at de uretmæssigt videregivne oplysninger omfatter de registreredes personnumre, og at der desuden er sket en overførsel af personoplysninger til usikre tredjelande, som virksomheden ikke har haft hjemmel til.

Det forhold, at virksomheden havde indgået en databehandleraftale med underleverandøren, og at denne databehandleraftale efter virksomhedens vurdering sikrer et tilstrækkeligt overførselsgrundlag til usikre tredjelande, kunne efter Datatilsyntes opfattelse ikke føre til andet resultat, da virksomhedens overførsel af personoplysninger til underleverandøren ikke havde hjemmel i databeskyttelsesforordningen på baggrund af virksomhedens manglende overholdelse af artikel 28, stk. 2, i forordningen.


Bech-Bruuns kommentarer


Det er interessant, at Datatilsynet i denne afgørelse statuerer dataansvar for en databehandler. Noget tilsvarende er tidligere kun set i ret få tilfælde.

Med rollen som dataansvarlig følger bl.a. ansvaret for, at behandlingerne er baseret på et juridisk grundlag. Det havde virksomheden ikke i forhold til de videregivelser, der var sket i denne sag.

Virksomhedens overførsel af personoplysninger til et tredjeland var heller ikke lovlig. Det er her interessant, at virksomheden selv mente, at den havde en aftale med underleverandøren, som var et tilstrækkeligt overførselsgrundlag. Men Datatilsynet fandt alligevel, at tredjelandsoverførslen var uberettiget – med henvisning til det manglende juridiske grundlag til videregivelse på baggrund af manglende aftale med den dataansvarlige.

I afgørelsen tilkendegiver Datatilsynet, at tilsynet i øvrigt har lagt til grund, at personoplysningerne er kommet til uvedkommendes kendskab, idet underdatabehandleren ikke havde været en godkendt underleverandør i aftaleforholdet. Dette kan give anledning til spørgsmålet, om brug af en databehandler eller underdatabehandler uden databehandleraftale eller godkendelse i sig selv også skal anses for et sikkerhedsbrud for den oprindelige dataansvarlige? Dette kan efter vores vurdering ikke generelt anses for at være tilfældet. Vi mener ikke, at det kan være meningen, at enhver manglende databehandleraftale skal meldes ind til Datatilsynet som et sikkerhedsbrud inden 72 timer.

 

Gå ikke glip af vigtig juridisk viden - Tilmeld dig vores gratis nyhedsservice her →
Har du spørgsmål til dette indlæg, er du mere end velkommen til at kontakte os.
Fagligt indhold, der kunne være relevante for dig
Hvornår må du udsende nyhedsbreve og tilbud til dine kunder?
Jurainfo logo
EXCLUSIVE
VIDEO
Hvornår må du udsende nyhedsbreve og tilbud til dine kunder?
Det kræver et markedsføringssamtykke fra dine kunder, hvis du ønsker at udsende nyhedsmail, sms'er eller på anden måde kontakte dem med gode tilbud. Advokat, Torsten Hylleberg, kommer her nærmere ind på hvad du skal være opmærksom på i forbindelse med indhentelse af markedsføringssamtykker.
Tredjelandsoverførsler og den nye aftale med USA
Jurainfo Exclusive logo
PODCAST
Tredjelandsoverførsler og den nye aftale med USA
Vi sætter fokus på overførsel af personoplysninger til usikre tredjelande, herunder overførsler til USA baseret på den nye aftale mellem EU og USA.
4 år med GDPR
Jurainfo Exclusive logo
PODCAST
4 år med GDPR
Hvordan ligger landet 4 år efter ikrafttrædelsen af Databeskyttelsesforordningen?
Artikler, der kunne være relevante for dig
Københavns Kommune får kritik i tilsynssag om AULA
Københavns Kommune får kritik i tilsynssag om AULA
04/07/2024
Persondata
Datatilsynet har opdateret vejledningen om håndtering af brud
Datatilsynet har opdateret vejledningen om håndtering af brud
04/07/2024
Persondata, Compliance
Ny afgørelse om manglende indsigt i og sletning af tv-overvågningsoptagelser
Ny afgørelse om manglende indsigt i og sletning af tv-overvågningsoptagelser
12/07/2024
Persondata
EU AI Act - få et overblik over datoerne for anvendelse
EU AI Act - få et overblik over datoerne for anvendelse
15/07/2024
EU-ret, Persondata, Compliance
Manglende kontrol af automatiske sletninger fører til kritik fra Datatilsynet
Manglende kontrol af automatiske sletninger fører til kritik fra Datatilsynet
15/07/2024
Persondata, Compliance
Digitaliseringsstyrelsen ændrer kørekorts-app'en efter forbud mod at behandle personoplysninger
Digitaliseringsstyrelsen ændrer kørekorts-app'en efter forbud mod at behandle personoplysninger
16/07/2024
Persondata
Jurainfo logo

Jurainfo.dk er landets største juridiske nyhedsside. Her finder du juridiske nyheder, kurser samt ledige juridiske stillinger. Vi hjælper dagligt danske virksomheder med at tilegne sig juridisk viden samt at sætte virksomheder i forbindelse med den rigtige juridiske rådgiver, når de har brug for råd og vejledning.

Jurainfo.dk ApS
CVR-nr. 38375563
Vandtårnsvej 62B, DK-2860 Søborg
(+45) 71 99 01 11
kontakt@jurainfo.dk
Ønsker du hjælp til at finde en specialist?
2024 © Jurainfo.dk - Juridiske nyheder og arrangementer samlet ét sted