undirvinnsluaðilar

Undirvinnsluaðili er aðili sem vinnur fyrir annan aðila sem ber persónuupplýsingar (stjórnanda) eða fyrir annan vinnsluaðila og sinna tilteknum gagnavinnslustarfsemi fyrir hönd þeirra. Hann gegnir oft hlutverksemi eins og gagnageymslu, flokkun, úrvinnslu eða dreifingu gagna, allt samkvæmt skriflegum samningi og undir stjórn stjórnanda. Í gagnaverndarmálum er undirvinnsluaðili annar af þremur aðilum í gagnavinnslu: stjórnandi, vinnsluaðili og undirvinnsluaðili.

Hlutverk og ábyrgð: Stjórnandi ber endanlega ábyrgð á lögmætri meðferð persónuupplýsinga. Hann má nota undirvinnsluaðila með skriflegu samþykki eða samkvæmt samningi sem kveður á um uppfyllingu persónuverndarskyldna. Vinnsluaðili sem notar undirvinnsluaðila þarf að tryggja að undirvinnsluaðili uppfylli sömu öryggis- og persónuverndarskyldur; hann ber ábyrgð gagnvart stjórnanda ef undirvinnsluaðili brýtur reglur. Stjórnandi getur hafnað nýjum undirvinnsluaðila og þarf að hafa yfirsýn yfir breytingar á vinnsluaðilaferli.

Samningar og fulllnandi ábyrgð: Mikilvægt er að vera með skriflegan samning um vinnslu persónuupplýsinga (DPA) sem lýsir tilgangi með vinnslunni, gerð persónuupplýsinga, hópa notenda, geymslu og eyðingu, aðgangi og öryggi. Samningurinn kveður einnig á um að undirvinnsluaðili taki upp sömu persónuverndarskyldur og stjórnandi og að tilkynningum um öryggisbrot sé háttað.

Löggjöf og framkvæmd: GDPR gildir í Íslandi sem hluti EES-sambandsins, og íslensk persónuverndarlög gera nánari útfærslu. Persónuvernd, eftirlitsaðili Íslands, veitir leiðbeiningar og framfylgir reglum um öryggi, aðgang og réttindi einstaklinga. Öll rekstur sem varðar persónuupplýsingar þarf að fara fram í samræmi við þessa löggjöf.