personuppgiftsansvarige

Personuppgiftsansvarige är enligt dataskyddslagstiftningen den organisation eller enhet som bestämmer ändamålen och medlen för behandling av personuppgifter. Denna roll kan innehas av offentliga myndigheter, företag eller andra juridiska eller fysiska personer. Om flera aktörer gemensamt bestämmer ändamålen och medlen räknas de som gemensamt personuppgiftsansvariga.

Ansvar och skyldigheter omfattar att behandlingen sker lagligt, rättvist och transparent. Den ansvarige ska fastställa en rättslig grund, informera registrerade om hur uppgifterna används och vidta rimliga tekniska och organisatoriska skyddsåtgärder (TOM). Den ansvarige ska dokumentera behandlingsaktiviteter (ROPA), genomföra konsekvensbedömningar av dataskydd vid betydande risker (DPIA), och följa principerna om ändamålsbegränsning, uppgiftssminimering och lagringsbegränsning. Vid personuppgiftsbrott ska det oftast rapporteras till Integritetsskyddsmyndigheten (IMY) och i vissa fall till de registrerade.

Den som använder ett personuppgiftsbiträde (databehandlare) får endast följa den ansvariges instruktioner och måste avtalsskydda uppgifter och säkerställa säker behandling. Om flera är gemensamt ansvariga krävs ett tydligt avtal och samråd som klargör roller och ansvar.

I Sverige övervakas efterlevnaden av GDPR av Integritetsskyddsmyndigheten (IMY). Praktiska åtgärder för den ansvarige inkluderar att utse ett skriftligt ansvar, upprätta ett register över behandlingar, genomföra DPIA när så krävs och försäkra att registrerade får information om sina rättigheter, inklusive tillgång, rättelse, radering, begränsning, dataportabilitet och rätten att invända mot behandling eller mot automatiserade beslut.