Databehandlingsaktiviteter

Databehandlingsaktiviteter er alle operasjoner eller sett av operasjoner som utføres på personopplysninger. Dette inkluderer innhenting, registrering, organisering, strukturering, lagring, tilrettelegging, endring, lesing, bruk, utlevering, spredning, sammenstilling, overføring og sletting. Slike aktiviteter finner sted i ulike sammenhenger, for eksempel i personalsystemer, kundedatabaser og markedsføringslister. Hver aktivitet har konsekvenser for personvernet og må styres for å oppfylle rettslige krav og beskytte brukernes rettigheter.

Under GDPR deles ansvaret mellom den behandlingsansvarlige og den databehandler som behandler data på vegne av den ansvarlige. Begge parter har plikt til lovlig, rettferdig og transparent behandling, samt til å sikre og dokumentere behandlingen. Behandlingsansvarlig skal ha fullstendig oversikt over behandlingsaktiviteter i et register (ROPA) og vurdere behovet for en DPIA ved høy risiko. Det bør også inngås databehandleravtaler og ivaretas tilstrekkelige sikkerhetstiltak.

Praktisk tilnærming inkluderer kartlegging av dataflyt, fastsettelse av formål og rettslig grunnlag, samt angivelse av lagringsperioder og hvem som har tilgang. Organisasjoner bør implementere sikkerhetstiltak som tilgangskontroller, pseudonymisering og kryptering, samt prinsipper for dataminimering og regelmessig revisjon.

Databehandlingsaktiviteter innebærer også håndtering av rettighetene til registrerte personer, som innsyn, korrigering, sletting og dataportabilitet, samt melding om brudd på personvernet. Overføring av data til tredjeland krever vurdering av overføringsmekanismer som standard kontraktsbestemmelser eller tilstrekkelighet. En løpende styring og oppfølging av databehandlingsaktiviteter er nødvendig for etterlevelse.