Ny afgørelse placerer ansvar hos databehandler: Handlede uden instruks

Datatilsynet har statueret dataansvar for en virksomhed, der som (under)databehandler har videregivet personoplysninger til en underdatabehandler uden instruks. Datatilsynet udtaler alvorlig kritik, idet tilsynet konkluderer, at virksomheden ikke havde et juridisk grundlag til at behandle oplysningerne som sket.

En virksomhed, som var underdatabehandler for en kommune, benyttede uden aftale med kommunen en underleverandør som underdatabehandler. Dette selv om aftalen med kommunen krævede specifik godkendelse til benyttelse af yderligere underdatabehandlere.

Datatilsynet konkluderede, at virksomheden ved videregivelse af personoplysninger til underdatabehandleren havde handlet uden for instruks.

Det var Datatilsynets vurdering, at virksomheden ved selv at fastsætte formålet med behandlingen blev dataansvarlig for videregivelsen af personoplysninger.

Virksomheden havde i sin funktion som underdatabehandler overtrådt databeskyttelsesforordningens artikel 28, stk. 2, ved at videregive personoplysningerne til en leverandør, der ikke forudgående var godkendt af den datansvarlige.

Virksomheden havde som dataansvarlig ikke haft juridisk grundlag, jf. databeskytttelsesforordningens artikel 6, stk. 1, og databeskyttelseslovens § 11, stk. 2, til at overføre personoplysningerne til underdatabehandleren.

Virksomheden havde heller ikke juridisk grundlag til at overføre personoplysningerne til tredjelande, jf. databeskyttelsesforordningens artikel 44, stk. 1, da overførsel kun må finde sted, hvis betingelserne i databeskyttelsesforordningens kapitel 5 med forbehold for de øvrige bestemmelser i forordningen er opfyldt.

Datatilsynet udtalte på den baggrund alvorlig kritik af, at virksomhedens behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens artikel 6, stk. 1, og databeskyttelseslovens § 11, stk. 2, jf. databeskyttelsesforordningens artikel 28, stk. 10, jf. artikel 28, stk. 2, og artikel 44, stk. 1.

I forhold til graden af kritik har Datatilsynet lagt vægt på, at der er tale om et højt antal berørte registrerede, at de uretmæssigt videregivne oplysninger omfatter de registreredes personnumre, og at der desuden er sket en overførsel af personoplysninger til usikre tredjelande, som virksomheden ikke har haft hjemmel til.

Det forhold, at virksomheden havde indgået en databehandleraftale med underleverandøren, og at denne databehandleraftale efter virksomhedens vurdering sikrer et tilstrækkeligt overførselsgrundlag til usikre tredjelande, kunne efter Datatilsyntes opfattelse ikke føre til andet resultat, da virksomhedens overførsel af personoplysninger til underleverandøren ikke havde hjemmel i databeskyttelsesforordningen på baggrund af virksomhedens manglende overholdelse af artikel 28, stk. 2, i forordningen.


Bech-Bruuns kommentarer

Det er interessant, at Datatilsynet i denne afgørelse statuerer dataansvar for en databehandler. Noget tilsvarende er tidligere kun set i ret få tilfælde.

Med rollen som dataansvarlig følger bl.a. ansvaret for, at behandlingerne er baseret på et juridisk grundlag. Det havde virksomheden ikke i forhold til de videregivelser, der var sket i denne sag.

Virksomhedens overførsel af personoplysninger til et tredjeland var heller ikke lovlig. Det er her interessant, at virksomheden selv mente, at den havde en aftale med underleverandøren, som var et tilstrækkeligt overførselsgrundlag. Men Datatilsynet fandt alligevel, at tredjelandsoverførslen var uberettiget – med henvisning til det manglende juridiske grundlag til videregivelse på baggrund af manglende aftale med den dataansvarlige.

I afgørelsen tilkendegiver Datatilsynet, at tilsynet i øvrigt har lagt til grund, at personoplysningerne er kommet til uvedkommendes kendskab, idet underdatabehandleren ikke havde været en godkendt underleverandør i aftaleforholdet. Dette kan give anledning til spørgsmålet, om brug af en databehandler eller underdatabehandler uden databehandleraftale eller godkendelse i sig selv også skal anses for et sikkerhedsbrud for den oprindelige dataansvarlige? Dette kan efter vores vurdering ikke generelt anses for at være tilfældet. Vi mener ikke, at det kan være meningen, at enhver manglende databehandleraftale skal meldes ind til Datatilsynet som et sikkerhedsbrud inden 72 timer.