vinnsluaðila

Vinnsluaðili (data processor) er í persónuverndarmálum sá aðili sem vinnslur persónuupplýsingar fyrir hönd stjórnanda gagnanna (data controller) og fer eftir leiðbeiningum hans. Í íslenskri lagasetningu og í samræmi við GDPR nær hann til eignarinnar sem vinnsluaðili, en hann ákvarðar ekki tilgang eða meðferð að öllu leyti heldur sinnir honum eftir skipun og forsendum sem stjórnandi gefur.

Helstu hlutverk og ábyrgðir vinnsluaðila eru að vinna með persónuupplýsingum samkvæmt skriflegu vinnslusamningi sem lýsir tilgangi, gerðum persónuupplýsinga, og lengd verksins. Hann ber ábyrgð á viðeigandi öryggi gagna og lætur ekki af hendi persónuupplýsingar nema samráðið sé fyrir hendi eða lög kveða á um annað. Hann þarf að gera ráðstafanir til að koma í veg fyrir óleyfilega vinnslu, halda trúnaði og vera með viðeigandi tæknilegar og skipandi ráðstafanir.

Vinnsluaðilar þurfa að aðstoða stjórnanda við að uppfylla lagaleg réttindi einstaklinga (eins og breytingar, aðgangur, eyðing), við mat á gagnaverndarábyrgð og við tilkynningar um öryggisbrot, þegar til þess er stofn. Ef notaðir eru undirvinnsluaðilar (subprocessors), þarf stjórnandi að veita starfsleyfi fyrir þá og lágmarkskröfur um að þeir lúti sömu persónuverndarkröfum.

Að endingu ber vinnsluaðila að endurreisa, eyða eða skila gögnum samkvæmt fyrirmælum stjórnanda eftir lok vinnslu. Persónuverndaryfirvöld (Persónuvernd) gegna eftirlitshlutverki og hafa umsjón með fyrirkomulagi og eftirfylgni.