personuppgiftsansvarig

Personuppgiftsansvarig, ofta översatt till data controller, är den fysiska eller juridiska person, offentlig myndighet eller annan enhet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandling av personuppgifter. Denna roll innebär ansvar för att behandlingen följer tillämplig dataskyddslagstiftning, bland annat allmänna dataskyddsförordningen (GDPR) och den svenska kompletterande lagstiftningen. Om flera aktörer gemensamt bestämmer ändamålen och medlen kan de kallas gemensamt personuppgiftsansvariga.

Ansvar och åtgärder inkluderar att fastställa rättslig grund för behandlingen, informera registrerade om hur deras uppgifter används och säkerställa att registrerades rättigheter respekteras, såsom rätten till tillgång, rättelse, radering, begränsning, dataportabilitet och invändning. Den ansvarar för att införa lämpliga tekniska och organisatoriska åtgärder baserat på riskerna i behandlingen, samt att föra ett register över behandlingsaktiviteter och genomföra konsekvensbedömningar (DPIA) vid högriskbehandlingar.

Relation till personuppgiftsbiträde innebär att den som är ansvarig får anlita ett eller flera biträden som behandlar uppgifter på uppdrag. Avtalet ska reglera instruktioner, sekretess, stöd till registrerade och säkerhetsåtgärder. Processorn får endast behandla enligt uppdragsgivaren och följa dennes instruktioner.

Tillsyn och överföringar innebär att den ansvariga ska följa uppföljning av efterlevnad, samarbeta med tillsynsmyndigheter och vid överföringar till tredje land säkerställa adekvata skyddsåtgärder.

I Sverige används termen personuppgiftsansvarig inom ramen för GDPR, och den svenska tillsynsmyndigheten är Integritetsskyddsmyndigheten (IMY).