Finn delen du trenger
Et byrå som utfører oppgaver for en kunde kan behandle personopplysninger på kundens vegne. Rollen må vurderes ut fra den faktiske behandlingen. Avtalen kan ikke alene gjøre en databehandler til selvstendig behandlingsansvarlig eller omvendt.
Kartlegg per arbeidsløp
Beskriv hvilke opplysninger som mottas, hvorfor de trengs, hvor de lagres og hvem som får tilgang. Den samme virksomheten kan ha ulike roller for egne kontaktpersoner og kundens saksdata; hold disse behandlingene adskilt.
| Spørsmål | Praktisk dokumentasjon |
|---|---|
| Hvem bestemmer formålet? | Beskrivelse av kundens oppdrag og egne formål |
| Hvilke data trengs? | Feltliste med begrunnelse |
| Hvem behandler videre? | Reelle underleverandører og systemer |
| Hvor lenge lagres data? | Avklart oppbevaring og sletteløp |
| Hva skjer ved hendelse? | Varslingskontakt og ansvar |
| Hva skjer ved exit? | Tilbakelevering, sletting og eventuelle lovpålagte unntak |
Datatilsynet forklarer når et databehandleroppdrag foreligger. Bruk veiledningen når rollene avklares, særlig der byrået også bruker opplysningene til egne formål.
Eksempel på unødvendig kopiering
Et callsenter skal dokumentere antall godkjente kontakter til fakturering. Økonomiverktøyet trenger normalt ikke telefonnummer, lydfil og hele kundesamtalen for å kontrollere antallet. Bevar en egnet referanse og nødvendige kontrollsummer fremfor å kopiere alt videre.
En ny skyfunksjon eller underleverandør kan endre behandlingen. Vurder dette før aktivering, inkludert relevante spørsmål om lagringssted og eventuell tilgang fra andre land. Ikke la en generell produktbeskrivelse erstatte faktisk kartlegging.
Når oppgavene endres, må rollebeskrivelsen og avtalen også oppdateres. La kundens ansvarlige godkjenne endret bruk av opplysningene før den nye behandlingen starter.
Se tilgang og leverandørexit.