Behandlingsansvarlig

Behandlingsansvarlig, ofte omtalt som data controller, er den fysiske eller juridiske person, offentlig myndighet eller annet organ som bestemmer formålet med og midlene for behandling av personopplysninger, enten alene eller sammen med andre. Dette innebærer å definere hva som samles inn, hvorfor det samles inn, og hvordan dataene skal brukes og lagres.

Behandlingsansvarlig har hovedansvaret for å sikre at behandlingen skjer i samsvar med personvernlovgivningen (GDPR og norsk personopplysningslov). Hovedoppgavene inkluderer å fastsette formål og rettslig grunnlag for behandlingen, sikre at behandlingen er nødvendig, rettferdig og åpen, og implementere tilstrekkelige sikkerhetstiltak. Ansvarlig skal ivareta registrertes rettigheter, blant annet innsyn, retting, sletting og dataportabilitet, og gi tydelig informasjon om behandlingens formål og varighet. Det er også ansvarlig for dokumentasjon av behandlingsaktiviteter, gjennomføring av personvernkonsekvensvurderinger ved høy risiko, og inngåelse av nødvendige databehandleravtaler ved bruk av eksterne tjenesteleverandører.

Når behandling utføres av en databehandler på vegne av den Behandlingsansvarlige, forblir ansvaret hos ansvarlig. En skriftlig databehandleravtale er nødvendig og må sikre at databehandleren følger instruksjonene, opprettholder konfidensialitet og iverksetter passende sikkerhetstiltak. Behandlingsansvarlig må også sikre at overføring av data til tredjeparter eller til utlandet skjer i tråd med GDPRs krav, med nødvendige overføringsmekanismer og sikkerhetstiltak.

I Norge brukes begrepet Behandlingsansvarlig i samsvar med GDPR og personopplysningsloven, og Datatilsynet utarbeider retningslinjer og veiledning om ansvar og forpliktelser knyttet til rollen.