Stutta svarið
Heiti í samningi ræður ekki hvort fyrirtæki er ábyrgðaraðili, sameiginlegur ábyrgðaraðili eða vinnsluaðili. Það ræðst af raunverulegu hlutverki þess í hverri vinnsluaðgerð. Sá sem ákveður hvers vegna persónuupplýsingar eru unnar og hvernig það er gert í meginatriðum telst ábyrgðaraðili. Sá sem vinnur gögnin fyrir hönd hans samkvæmt skjalfestum fyrirmælum er vinnsluaðili.
Tvö eða fleiri fyrirtæki verða sameiginlegir ábyrgðaraðilar þegar þau ákveða saman tilgang og aðferðir vinnslunnar. Þau þurfa ekki að vera jafnstór, hafa sama aðgang að gögnunum eða taka allar ákvarðanir saman. Það getur nægt að ákvarðanir þeirra mætist þannig að vinnslan verði sameiginlegt verkefni sem ekki verður með raunhæfum hætti rakið til eins þeirra.
Sama fyrirtæki getur verið vinnsluaðili fyrir eina aðgerð en sjálfstæður ábyrgðaraðili fyrir aðra. Skýjaþjónusta getur til dæmis vistað viðskiptavinagögn samkvæmt fyrirmælum en ákveðið sjálf að nota þjónustugögn í eigin greiningu. Þess vegna þarf að kortleggja hverja aðgerð — söfnun, auðkenningu, vistun, greiningu, miðlun og eyðingu — í stað þess að merkja allt þjónustusambandið með einu hlutverki.
Vinnsluaðgerðin er útgangspunkturinn, ekki fyrirtækjalistinn
Algengasta skekkjan er að spyrja: „Er tæknifyrirtækið vinnsluaðili?“ Rétta spurningin er: „Hvaða hlutverki gegnir það við þessa tilteknu vinnslu?“
Tökum sem dæmi viðskipti á stafrænu markaðstorgi. Vefverslun ákveður að safna nafni og heimilisfangi til að afgreiða pöntun. Hýsingaraðili vistar gögnin samkvæmt fyrirmælum hennar. Greiðsluþjónusta vinnur færslugögn vegna eigin lagaskyldna og svikavarna. Flutningsaðili ákveður sjálfur hluta vinnslu sem tengist afhendingu og sönnun fyrir móttöku. Auglýsingakerfi getur samkeyrt hegðun notandans við gögn annarra viðskiptavina.
Þessir aðilar eru ekki sjálfkrafa allir vinnsluaðilar eða sameiginlegir ábyrgðaraðilar. Flokkunin getur verið ólík eftir því hvort litið er til greiðslunnar, afhendingarinnar, notkunarmælingarinnar eða auglýsingasniðsins.
Þrjú hlutverk í stuttu máli
Reglan um sameiginlega ábyrgð er skýr:
Ef tveir eða fleiri ábyrgðaraðilar ákveða sameiginlega tilgang vinnslunnar og aðferðir við hana skulu þeir teljast vera sameiginlegir ábyrgðaraðilar.
—
Samkomulagið þarf meðal annars að skipta ábyrgð á fræðslu, aðgangsbeiðnum og öðrum réttindum. Megininntak þess á að vera aðgengilegt hinum skráðu. Innbyrðis skipting skerðir þó ekki rétt einstaklings til að beina kröfu að hverjum sameiginlegum ábyrgðaraðila um sig.
Fimm spurningar leiða raunverulegt hlutverk í ljós
Um hverja vinnsluaðgerð þarf að skrá:
- Hver ákvað tilganginn — hvers vegna gögnin eru unnin á annað borð?
- Hver ákvað hvaða einstaklingar og gögn fara inn, hverjir fá aðgang og hve lengi gögnin eru geymd?
- Getur þjónustuveitandinn hafið nýja notkun án fyrirmæla viðskiptavinarins?
- Er vinnsla beggja aðila nauðsynleg til að sameiginleg þjónusta virki, eða fara aðeins fram tvær sjálfstæðar vinnslur hvor á eftir annarri?
- Hver getur í reynd svarað fyrir fræðslu, aðgang, leiðréttingu, eyðingu, öryggisbrest og andmæli?
Val á venjulegum tæknilegum útfærslum gerir þjónustuveitanda ekki sjálfkrafa að ábyrgðaraðila. Hann má til dæmis velja öryggislausn og afritunaraðferð innan fyrirmæla. En þegar hann tekur ákvörðun um nýjan tilgang í eigin þágu — svo sem að nota viðskiptavinagögn í eigin vöruþróun, auglýsingasnið eða gagnasölu — vinnur hann ekki lengur eingöngu fyrir hönd viðskiptavinarins að því er þá notkun varðar.
Samningurinn er sönnunargagn, ekki endanlegt svar
Úttekt Persónuverndar á notkun Hafnarfjarðarbæjar á Google Workspace for Education sýnir þetta skýrt. Í samningnum var Google kallað vinnsluaðili og sveitarfélagið ábyrgðaraðili. Úttektin leiddi hins vegar í ljós að Google vann gögn umfram fyrirmæli sveitarfélagsins og að sveitarfélagið hafði ekki fullnægjandi stjórn á vinnslunni. Við flokkun hlutverkanna sagði Persónuvernd:
[...] ber [...] ekki einungis að líta til þeirra gagna sem fyrir liggja, til að mynda vinnslusamnings, heldur einnig hvernig fyrirkomulagi hafi raunverulega verið háttað, þ.e. hver hafi í reynd tekið ákvörðun um tilgang og aðferðir við vinnslu persónuupplýsinga.
—
Hafnarfjarðarbær var sektaður um 2,8 milljónir króna og honum gert að færa vinnsluna til samræmis við lög. Málið sýnir að ábyrgðaraðili getur ekki velt ábyrgðinni yfir á stóran tæknibirgi með staðlaðri samningsgrein. Hann verður að vita hvaða gögn þjónustan vinnur, hvaða tilgangi hver aðgerð þjónar og hvort vinnsluaðili geti í reynd farið út fyrir fyrirmælin.
Hvenær er þjónustuveitandi raunverulegur vinnsluaðili?
Í sendi Íslandspóstur Western Union afrit af persónuskilríkjum viðskiptavinar. Gögn málsins sýndu að Western Union ákvað tilgang og aðferðir og að Íslandspóstur vann samkvæmt fyrirmælum og samningi:
Vinnsluaðili er sá sem vinnur persónuupplýsingar fyrir hönd ábyrgðaraðila á grundvelli samnings þar að lútandi. Í þessu tilfelli var Íslandspóstur ohf. vinnsluaðili [...] milli ábyrgðaraðila (Western Union) og vinnsluaðila (Íslandspósts ohf.).
—
Kvörtuninni var áfram beint að Íslandspósti þótt Persónuvernd benti á að Western Union væri ábyrgðaraðilinn. Úrskurðurinn tók því aðeins til þess hvort Íslandspóstur hefði farið út fyrir fyrirmæli sín. Það sýnir hagnýta þýðingu flokkunarinnar: rangur viðtakandi kvörtunar getur takmarkað úrlausn málsins.
Faglegt sjálfstæði getur útilokað vinnsluaðilahlutverk
Fyrirtæki verður ekki vinnsluaðili aðeins af því að það veitir öðru fyrirtæki þjónustu. Í máli nr. 2020092335 unnu Icelandair, vátryggjandi, íslenskur lögmaður og erlend lögmannsstofa saman að miðlun heilsufarsgagna til sérfræðings vegna ágreiningsmáls. Lögmennirnir tóku faglegar ákvarðanir um meðferð málsins og fóru ekki aðeins eftir fyrirmælum annarra.
[...] lögmaður Icelandair, HFW, Icelandair og Global Aerospace teljist sameiginlegir ábyrgðaraðilar að þeirri vinnslu persónuupplýsinga sem til úrlausnar er [...].
—
Þeir höfðu ekki gert samkomulag um ábyrgð samkvæmt 26. gr. GDPR og uppfylltu því ekki þá kröfu. Dæmið á einnig við um endurskoðendur, ráðgjafa og aðra sérfræðinga: sjálfstæð fagleg ákvarðanataka um tilgang eða meginatriði vinnslu getur gert þá að sjálfstæðum eða sameiginlegum ábyrgðaraðilum, þótt þjónustan sé keypt af öðrum.
Einn gagnagrunnur getur falið í sér fleiri en eina flokkun
Í ráðgjöf Persónuverndar frá 2021 um PEP-gagnagrunn Creditinfo var vinnsla gagnagrunnsins talin óaðskiljanlegur hluti af vinnslu áskrifenda sem þurftu að meta stjórnmálaleg tengsl samkvæmt lögum um peningaþvætti. Creditinfo og tilkynningarskyldir áskrifendur voru því taldir sameiginlegir ábyrgðaraðilar og gerðu drög að samkomulagi um skiptingu ábyrgðar.
Í var hins vegar aðeins leyst úr ábyrgð á söfnun og skráningu upplýsinga um barn í gagnagrunninn. Um þá afmörkuðu aðgerð gilti eftirfarandi:
Samkvæmt fyrirliggjandi gögnum ákvað Keldan tilgang og aðferðir við þá vinnslu persónuupplýsinga sem hér eru til umfjöllunar [...]. Eins og hér til háttar telst Keldan því vera sjálfstæður ábyrgðaraðili vinnslunnar [...].
—
Persónuvernd tók ekki sérstaklega afstöðu til ábyrgðar á annarri vinnslu, svo sem notkun áskrifenda á upplýsingunum. Niðurstöðurnar rekast því ekki endilega á. Þær sýna hvers vegna afmarka þarf vinnsluaðgerðina áður en hlutverkin eru merkt.
Úrlausnum um sameiginlega ábyrgð hefur fjölgað
Hugtakið „sameiginlegir ábyrgðaraðilar“ kom fyrir í 18 úrlausnum í íslensku stjórnsýslusafni. Þannig skiptust þær eftir ákvörðunarári 16. júlí 2026:
Taflan tekur til nákvæmrar orðnotkunar en ekki allra mála þar sem margir komu að sömu vinnslu. Ekkert skjal frá árinu 2024 féll undir þessa afmörkun. Taflan sýnir þó að hugtakið hefur á skömmum tíma orðið sýnilegur hluti íslenskrar framkvæmdar. Sjö niðurstöður árið 2023 tengjast meðal annars vinnustaðagreiningu, skýjaþjónustu og samstarfi margra faglegra aðila. Dreifingin sýnir ólík þjónustuform sem falla ekki öll undir sömu tegund samnings.
Hvað þarf að vera í réttum skjölum?
Ef um vinnsluaðila er að ræða
Vinnslusamningur þarf meðal annars að tilgreina viðfangsefni, tímalengd, tilgang, gagnaflokka, skráða einstaklinga og réttindi ábyrgðaraðila. Hann þarf að tryggja skjalfest fyrirmæli, trúnað, öryggi, aðstoð við réttindabeiðnir, reglur um undirvinnsluaðila, skil eða eyðingu gagna og möguleika á úttekt.
Ef um sameiginlega ábyrgð er að ræða
Samkomulag þarf að endurspegla raunveruleg hlutverk og skipta ábyrgð á að minnsta kosti fræðslu, vinnsluheimild, réttindabeiðnum, varðveislu, öryggi, öryggisbrestum, mati á áhrifum og samskiptum við Persónuvernd. Einn tengiliður getur einfaldað þjónustu en má ekki skerða rétt einstaklings gagnvart hverjum ábyrgðaraðila um sig.
Ef um sjálfstæða ábyrgðaraðila er að ræða
Samningur um miðlun þarf að skýra tilgang, heimild, gagnaflokka, öryggi og ábyrgðarskil. Hvor aðili um sig þarf að uppfylla fræðslu- og ábyrgðarskyldur vegna eigin vinnslu. Orðið „miðlun“ breytir ekki sjálfkrafa öðrum aðilanum í vinnsluaðila.
Niðurstaða
Ábyrgð fylgir ákvörðunarvaldi, ekki vörumerki eða fyrirsögn samnings. Þegar stafræn þjónusta sameinar gögn margra fyrirtækja þarf að greina hverja vinnsluaðgerð fyrir sig: hver ákveður tilganginn, hver ræður nauðsynlegum aðferðum og hvert raunverulegt svigrúm hvers aðila er.
Vinnsluaðili fer eftir fyrirmælum. Sjálfstæður ábyrgðaraðili ákveður eigin tilgang. Sameiginlegir ábyrgðaraðilar móta vinnsluna saman eða með samverkandi ákvörðunum. Rétt flokkun skilar réttu samkomulagi, skýrri fræðslu og raunhæfri leið fyrir einstakling til að neyta réttinda sinna.
Heimildir
- , einkum 3., 23. og 25. gr. og 26.–29. gr. reglugerðar (ESB) 2016/679.
- .
- .
- .
- .
- .
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.