Dataansvar for vikarer og konsulenter

Datatilsynet har offentliggjort en række vejledende principper for placeringen af dataansvaret i forbindelse med situationer, hvor en dataansvarlig virksomhed eller myndighed benytter sig af vikarer og konsulenter til behandling af personoplysninger.

nvi_portraetter_done_046_web.jpg

Sondringen mellem dataansvarlige og ‎databehandlere er vigtig, da der er væsentlig forskel på de krav, der ‎stilles, alt efter om man er dataansvarlig eller databehandler. Men hvor skal dataansvaret placeres, når virksomheder og myndigheder gør brug af vikarer og konsulenter? Netop dette spørgsmål er Datatilsynet blevet stillet adskillige gange.

Derfor har Datatilsynet valgt at offentliggøre en række vejledende principper, som har til formål at afklare, hvordan vurderingen af dataansvaret i sådanne situationer bør foretages. De vejledende principper om dataansvar for vikarer og konsulenter skal ses som et supplement til Datatilsynets vejledning om dataansvarlige og databehandlere. Vores nyhed om denne vejledning kan læses her.

I relation til vikarer anfører Datatilsynet, at det er afgørende, hvorvidt vikaren kan anses for at være en del af den dataansvarliges juridiske enhed. Det forhold, at en vikar er ansat og aflønnes af et vikarbureau, vil ifølge Datatilsynet almindeligvis betyde, at der er tale om en databehandlerkonstruktion. Dette kriterium er dog ikke eneafgørende.

Omvendt anfører Datatilsynet nemlig, at vikarer i mange tilfælde må kunne anses for at være en del af den dataansvarliges juridiske enhed. Det er i den forbindelse Datatilsynets umiddelbare opfattelse, at hvis en vikar udfører sine arbejdsopgaver på en måde, som er sammenlignelig med de øvrige medarbejderes, vil der ikke foreligge en databehandlerkonstruktion. Datatilsynet lægger i den forbindelse bl.a. vægt på, om vikaren er underlagt den dataansvarliges instruktionsbeføjelse.

I forhold til eksterne konsulenter, herunder IT-konsulenter, skal den dataansvarlige overveje, om den ydelse, som den dataansvarlige køber af konsulenten, helt eller delvist vedrører behandling af personoplysninger til den dataansvarliges formål under den dataansvarliges instruks. Der vil i så fald være tale om en databehandlerkonstruktion.

Datatilsynets vejledende principper, som bl.a. indeholder eksempler på forskellige konkrete situationer, hvor vikarer og konsulenter behandler personoplysninger, kan læses her.

Ved tvivl om, hvorvidt en vikar eller konsulent konkret er omfattet af en databehandlerkonstruktion eller ej, bør det overvejes at søge rådgivning herom.

Indholdet i ovenstående nyhedstekst er ikke og kan ikke erstatte juridisk rådgivning.

Mere om emnet