1.1 Roller vid behandling av personuppgifter 

1.2 Organiseringen av personuppgiftsansvaret i förvaltningsstadgan

1.3 Fastställande av ansvar genom avtal mellan parterna som behandlar personuppgifter

Begreppet personuppgiftsansvarig har en avgörande betydelse för tillämpningen av dataskyddslagstiftningen, eftersom därigenom fastställs den aktör som i regel ansvarar för att behandlingen av personuppgifter är lagenlig. Ett exakt fastställande av personuppgiftsansvaret är en viktig förutsättning för att kommunens uppgifter ska kunna utföras i enlighet med kraven i dataskyddslagstiftningen. De flesta av kommunens uppgifter förutsätter behandling av personuppgifter.

Enligt artikel 4.7 i dataskyddsförordningen avses med personuppgiftsansvarig en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

Personuppgiftsansvar kan alltså uppkomma på två sätt. Personuppgiftsansvar kan grunda sig på:

• Bestämmanderätt i fråga om behandling av personuppgifter, vilket innebär att den personuppgiftsansvarige i praktiken bestämmer ändamålen och medlen för behandlingen av personuppgifter.
• Lagstiftning som antingen direkt eller indirekt anger vem som är personuppgiftsansvarig.

Om två eller flera personuppgiftsansvariga tillsammans bestämmer ändamålen och medlen för behandlingen av personuppgifter är de enligt artikel 26 i dataskyddsförordningen gemensamt personuppgiftsansvariga. Även om denna anvisning fokuserar på begreppet personuppgiftsansvarig, förklaras även begreppet personuppgiftsbiträde kort för tydlighetens skull. Med personuppgiftsbiträde avses enligt artikel 4.8 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning.

Dataskyddsförordningen är som sådan direkt tillämplig rätt i Finland. EU-rätten har företräde framför nationell lagstiftning och myndigheterna ska tolka och tillämpa den nationella lagstiftningen på ett sätt som är förenligt med EU-rätten. Vid tolkningen av EU-rätten är EU-domstolens rättspraxis av stor betydelse. EU-domstolen har i sina avgöranden även klargjort tolkningen av bland annat begreppen personuppgiftsansvarig och gemensamt personuppgiftsansvarig (se t.ex. mål C-638/23, mål C-231/22, mål C-683/21, mål C-25/17 och mål C-210/16).

Europeiska dataskyddsstyrelsen har utarbetat tolkningsanvisningar för begreppen personuppgiftsansvarig, gemensamt personuppgiftsansvarig och personuppgiftsbiträde (Riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR), utifrån dataskyddsförordningen och Europeiska unionens rättspraxis. Europeiska dataskyddsstyrelsen har i sina riktlinjer fastställt vissa kriterier för att bedöma om en aktör är personuppgiftsansvarig, gemensamt personuppgiftsansvarig eller personuppgiftsbiträde. Enligt riktlinjerna är begreppen funktionella begrepp som syftar till att fördela ansvaret mellan aktörerna utifrån deras faktiska uppgifter. Begreppen är också självständiga begrepp i den meningen att de i huvudsak ska tolkas i enlighet med EU:s dataskyddslagstiftning.

Begreppen personuppgiftsansvarig, gemensamt personuppgiftsansvarig och personuppgiftsbiträde enligt dataskyddsförordningen har inte förändrats jämfört med det tidigare personuppgiftsdirektivet (95/46/EG), utan generellt sett är begreppen och kriterierna för fastställande av dem fortfarande desamma. I och med dataskyddsförordningen har man även i Finland frångått det registercentrerade synsättet i den upphävda personuppgiftslagen (523/1999). Vid fastställandet av vem som är personuppgiftsansvarig är det alltså inte exempelvis viktigt i vilka register eller system personuppgifter behandlas, utan avgörande är vilken aktör som utövar bestämmanderätt över behandlingen av personuppgifter och som kan fullgöra de skyldigheter som åligger den personuppgiftsansvarige. Den finskspråkiga termen rekisterinpitäjä (”registerförare”) enligt dataskyddsförordningen är i detta avseende något missvisande. Den svenska motsvarigheten personuppgiftsansvarig och controller på engelska beskriver begreppet bättre.

1.1 Roller vid behandling av personuppgifter

Dataskyddsförordningen ålägger aktörerna olika skyldigheter beroende på vilken roll de har vid behandlingen av personuppgifter. Av grundlagsskäl föreskrivs det vanligtvis om den personuppgiftsansvarige i lag när denna är en myndighet. På motsvarande sätt fastställs ofta de gemensamt personuppgiftsansvarigas ansvarsområden i lagstiftningen när myndigheter är gemensamt personuppgiftsansvariga. Det är däremot i regel inte nödvändigt att föreskriva om personuppgiftsbiträdet i lag.

Den personuppgiftsansvarige ansvarar för behandlingen av personuppgifter

Kommunen är en juridisk person och en myndighet. Inom kommunen och som en del av den finns också självständiga myndigheter. En kommunal myndighet kan vara ett organ eller en tjänsteinnehavare. Kommunen och dess myndigheter utgör tillsammans en juridisk person. En personuppgiftsansvarig som avses i dataskyddsförordningen kan vara en kommun, ett kommunalt organ och/eller en kommunal tjänsteinnehavare, på egen hand eller tillsammans.

Om den personuppgiftsansvarige uttryckligen specificeras i lag är detta enligt Europeiska dataskyddsstyrelsens riktlinjer 07/2020 avgörande för fastställandet av vem som är personuppgiftsansvarig. Detta förutsätter också att lagstiftaren har utsett en aktör till personuppgiftsansvarig som faktiskt har möjlighet att vara personuppgiftsansvarig. I stället för att direkt ange den personuppgiftsansvarige eller kriterierna för att utse denne kan det i lag även föreskrivas om en uppgift eller åläggas en aktör att samla in och behandla vissa uppgifter. I dessa fall regleras ändamålet med behandlingen ofta i lag. Vanligtvis är den personuppgiftsansvarige den aktör som i lag har utsetts för detta ändamål, dvs. för en offentlig uppgift. I detta fall anges det i lagen vem som är personuppgiftsansvarig, om än indirekt. Lagen kan också föreskriva om en skyldighet att lagra eller lämna ut vissa uppgifter. Aktören anses vanligtvis vara personuppgiftsansvarig för den behandling som är nödvändig för att fullgöra denna skyldighet.

I lagstiftningen om kommunerna är definitionen av den personuppgiftsansvarige splittrad. Enligt 7 § kommunallagen (410/2015) sköter kommunen de uppgifter som den har åtagit sig med stöd av självstyrelsen och organiserar de uppgifter som särskilt föreskrivs för den i lag. Också i speciallagstiftningen åläggs kommunen uppgifter, vilket innebär att kommunen har organiseringsansvaret för uppgiften i fråga. I de flesta fall utser lagstiftningen inte uttryckligen personuppgiftsansvariga eller föreskriver uttömmande om vilka frågor ett visst kommunalt organ eller en viss tjänsteinnehavare ska besluta om eller sköta. I lagstiftningen som gäller kommunerna har den kommunala självstyrelsen i allmänhet ansetts vara utgångspunkten. Inom ramen för relativt vida och flexibla bestämmelser kan varje kommun bygga upp en organisation som är anpassad till dess egna behov.

I situationer där lagstiftningen på en allmän nivå anger att organiseringsansvaret för en uppgift ligger hos kommunen, kan kommunen genom egen organisering påverka vilken aktör som är personuppgiftsansvarig, dvs. i sista hand ansvarar för att behandlingen av personuppgifter är lagenlig. I den mån personuppgiftsansvaret inte har fastställts i lag, behöver kommunen definiera ansvaret och uppgifterna i samband med behandlingen av personuppgifter i förvaltningsstadgan samt i andra interna föreskrifter och anvisningar. I kommunen ska det vara tydligt vilken aktör som i varje enskilt sammanhang är personuppgiftsansvarig och vilka fysiska personer som ansvarar för de olika uppgifterna som åligger den personuppgiftsansvarige.

Eftersom kommunerna organiserar sin verksamhet på olika sätt inom ramen för sin självstyrelse, fastställs personuppgiftsansvaret inte på samma sätt i alla kommuner. När personuppgiftsansvaret inte har fastställts i lag grundar sig bedömningen på de faktiska omständigheterna kring behandlingen av personuppgifter. Däremot har kommunens interna organisering inte någon avgörande betydelse för fastställandet av personuppgiftsansvaret i situationer där lagstiftningen anger att ansvaret exempelvis ligger hos en viss kommunal myndighet.

I den nationella lagstiftningen som gäller kommunerna framgår personuppgiftsansvaret på olika sätt.

”Kommunen är skyldig att ordna X.” Ofta anses personuppgiftsansvaret vara en naturlig följd av organiseringsansvaret. I lagstiftningen åläggs kommunen ibland organiseringsansvaret som helhet, varvid kommunen genom förvaltningsstadgan närmare fastställer ansvaret för att sköta uppgifterna som hänför sig till en tjänst eller verksamhet. I sådana fall kvarstår ansvaret för att ordna verksamheten på kommunnivå, medan ansvaret för att utföra de konkreta uppgifterna delegeras till olika myndigheter inom kommunorganisationen. I dessa situationer kan även ansvaret och uppgifterna i samband med behandlingen av personuppgifter delegeras inom kommunen, till exempel som en del av utförandet av de praktiska uppgifter som hänför sig till organiseringsansvaret. Till exempel enligt 4 § i lagen om grundläggande utbildning (628/1999) är kommunen skyldig att för barn i läropliktsåldern som bor på kommunens område ordna grundläggande utbildning samt förskoleundervisning året innan läroplikten uppkommer.

”Den kommunala myndigheten X ansvarar för uppgiften.” Ansvaret för att ordna en tjänst eller verksamhet kan i lagstiftningen också fördelas mer specifikt inom kommunorganisationen, till exempel till en viss myndighet. Även i detta fall är det naturligt att anse att personuppgiftsansvaret följer fördelningen av organiseringsansvaret och att personuppgiftsansvaret bestäms utifrån vem som ansvarar för att ordna tjänsten eller verksamheten. I dessa fall, när lagstiftningen tydligt tar ställning till fördelningen av ansvaret, är det inte längre möjligt för kommunen att genom eget beslut delegera personuppgiftsansvaret till en annan myndighet. Däremot är det möjligt för den kommunala myndighet som är personuppgiftsansvarig att anlita andra kommunala myndigheter, till exempel som personuppgiftsbiträde.

Enligt till exempel 22 § i miljöskyddslagen (527/2014) sköts de tillstånds- och tillsynsuppgifter samt anmälningsförfaranden som ankommer på kommunen av kommunens miljöskyddsmyndighet, som för sin del för talan för att tillvarata det allmänna miljöskyddsintresset vid beslutsfattandet. Ett annat exempel är att kommunstyrelsen enligt 39 § i kommunallagen företräder kommunen som arbetsgivare och svarar för kommunens arbetsgivar- och personalpolitik. Således är kommunstyrelsen personuppgiftsansvarig i kommunen när det gäller behandlingen av personuppgifterna för kommunens personal.

”Kommunen är personuppgiftsansvarig.” Det är möjligt att det direkt i lagstiftningen konstateras att kommunen är personuppgiftsansvarig för en viss behandling av personuppgifter. I detta fall, på motsvarande sätt som i fråga om organiseringsansvaret, kan kommunen genom bestämmelser i förvaltningsstadgan närmare föreskriva hur uppgifterna ska skötas. Enligt 12 § i ungdomslagen (1285/2016) ansvarar kommunen för behandlingen av personuppgifter om unga i det uppsökande ungdomsarbetet.

”Den kommunala myndigheten X är personuppgiftsansvarig.” Lagstiftningen kan också direkt ta ställning till personuppgiftsansvaret och föreskriva att en viss kommunal myndighet är personuppgiftsansvarig. I dessa situationer kan kommunen inte längre genom egna åtgärder påverka fördelningen av personuppgiftsansvaret, och det finns inte heller några möjligheter till delegering. Enligt till exempel 123 § i lagen om ordnande av arbetskraftsservice (380/2023) är Sysselsättnings-, utvecklings- och förvaltningscentret och arbetskraftsmyndigheterna gemensamt personuppgiftsansvariga för den nationella informationsresurs som avses i 120 §.

Om personuppgiftsansvaret inte kan fastställas utifrån lagstiftningen ska, enligt Europeiska dataskyddsstyrelsens riktlinjer 07/2020, en parts kvalificering som personuppgiftsansvarig fastställas på grundval av en bedömning av de faktiska omständigheterna kring behandlingen. Detta innebär att den personuppgiftsansvarige är den part som faktiskt utövar ett bestämmande inflytande över ändamålen med och medlen för behandlingen.

I kommunen används kamerabevakning på kommunens allmänna områden för att skydda kommunens egendom och främja kommuninvånarnas välbefinnande. Eftersom det i lag inte föreskrivs särskilt om kamerabevakning i kommunerna, fastställs personuppgiftsansvaret i enlighet med dataskyddsförordningen utifrån vilken part som fastställer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgiftsansvaret kan organiseras i kommunen utifrån verksamheten, förutsatt att arrangemanget motsvarar de faktiska omständigheterna.

Enligt Europeiska dataskyddsstyrelsens riktlinjer 07/2020 kan vissa behandlingsåtgärder i praktiken också anses vara naturligt förknippade med rollen eller funktionerna hos en enhet och som i slutändan medför skyldigheter i fråga om dataskydd. Exempelvis behandlar en arbetsgivare personuppgifter om sina arbetstagare och bestämmer i regel ändamålen med och medlen för behandlingen av personuppgifterna och är således personuppgiftsansvarig.

Enligt 8 § 1 mom. i kommunallagen kan kommunen själv organisera de uppgifter som åligger den enligt lag eller avtala om att organiseringsansvaret överförs på en annan kommun eller en samkommun. I princip kan kommunerna vid ordnandet av lagstadgade uppgifter enligt bestämmelsen använda sig av alla former av offentligrättsligt samarbete mellan kommunerna som föreskrivs i kommunallagen. Sina lagstadgade uppgifter kan kommunerna dock alltid, när inget uttryckligt förbud finns, organisera i samarbete, även om möjligheten inte nämns i någon speciallag. Grundläggande bestämmelser om samarbete mellan kommunerna finns i 8 kap. i kommunallagen. Formen för offentligrättsligt samarbete mellan kommuner kan vara ett gemensamt organ, en gemensam tjänst, ett avtal om skötsel av en myndighetsuppgift och en samkommun. Vid uppgifter som sköts genom samarbete ligger ansvaret för att dataskyddslagstiftningen iakttas i regel hos den aktör som ansvarar för samarbetet och till vilken personuppgiftsansvaret har överförts i samband med uppgiften.

Gemensamt personuppgiftsansvarig – delat ansvar för behandling av personuppgifter

Enligt artikel 26 i dataskyddsförordningen är två eller fler gemensamt personuppgiftsansvariga om de gemensamt fastställer ändamålen med och medlen för behandlingen. Enligt bestämmelsen kan de personuppgiftsansvarigas skyldigheter fastställas genom en medlemsstats nationella rätt. Definitionen av personuppgiftsansvarig utgör utgångspunkten för fastställandet av gemensamt personuppgiftsansvar.

Enligt Europeiska dataskyddsstyrelsens riktlinjer 07/2020 kräver bedömningen av förekomsten av gemensamt personuppgiftsansvariga att man undersöker om bestämmande av ändamål och medel som kännetecknar en personuppgiftsansvarig beslutas av mer än en part. Gemensamt deltagande i fastställandet av ändamål och medel innebär att mer än en enhet har ett avgörande inflytande över huruvida och hur behandlingen sker. Till exempel kan gemensamt deltagande anta formen av ett gemensamt beslut som fattas av två eller flera enheter eller härrör från konvergerande beslut från två eller flera enheter angående ändamål och väsentliga medel. Gemensamt personuppgiftsansvar kan förekomma när de aktörer som deltar i samma behandling behandlar uppgifterna för samma eller gemensamma ändamål eller när aktörerna eftersträvar ändamål som har ett nära samband med varandra eller kompletterar varandra. Olika aktörer kan delta i olika skeden av behandlingen och i varierande grad.

På motsvarande sätt som personuppgiftsansvaret kan även det gemensamma personuppgiftsansvaret grundas på lagstiftning eller följa av omständigheterna, där minst två personuppgiftsansvariga tillsammans fastställer ändamålen med och medlen för behandlingen.

Enligt 4 § i lagen om informationssystemet för den byggda miljön (431/2023) är Finlands miljöcentral, kommunerna och landskapsförbunden gemensamt personuppgiftsansvariga för informationsresursen för områdesanvändningen. Finlands miljöcentral och kommunerna är gemensamt personuppgiftsansvariga för byggnadsinformationsresursen.

När kommunen riktar sin kommunikation till användare av sociala medier är kommunen gemensamt personuppgiftsansvarig tillsammans med leverantören av den sociala medietjänsten. När kommunen bedriver riktad kommunikation fastställer den parametrarna för målgruppen, medan leverantören av den sociala medietjänsten använder de sociala medieanvändarnas personuppgifter för att rikta kommunikationen. Enligt EU-domstolens rättspraxis och Europeiska dataskyddsstyrelsens riktlinjer 8/2020 (riktlinjer om riktad marknadsföring mot användare av sociala medier) kräver gemensamt personuppgiftsansvar från flera aktörer för samma behandling inte att var och en av dem har tillgång till de berörda personuppgifterna.

Mera information: 

• Dataskyddsmyndigheten i Baden-Württemberg, Tyskland: New Guideline on the use of social networks by public authorities
• Dataskyddsmyndigheten Datatilsynet, Norge: Norwegian Data Protection Authority choose not to use Facebook

Kommunen och tjänsteleverantören kan anses vara gemensamt personuppgiftsansvariga om de tillsammans beslutar om ändamålen med och medlen för behandlingen, om behandlingen gynnar båda parterna och tjänsteleverantören inte agerar uteslutande för kommunens räkning.

Mera information: 

• Dataskyddsmyndigheten CNIL, Frankrike: Determining the legal qualification of AI system providers

Att flera aktörer är involverade i samma behandling betyder enligt Europeiska dataskyddsstyrelsens riktlinjer 07/2020 inte nödvändigtvis att de fungerar som gemensamt personuppgiftsansvariga för sådan behandling. Inte alla typer av partnerskap, samarbete eller samarbetsprojekt innebär kvalificering av gemensamt personuppgiftsansvariga eftersom kvalificering för detta kräver en individuell analys av varje behandling som står på spel och varje enhets exakta roll med avseende på varje behandling. Till exempel kommer användningen av ett gemensamt databehandlingssystem eller en infrastruktur inte alltid att leda till att de berörda parterna kvalificeras som gemensamt personuppgiftsansvariga.

Gränsdragningen mellan personuppgiftsansvar och gemensamt personuppgiftsansvar är ofta svår. Definitionen kan vara särskilt svår när samma eller delvis samma personuppgifter behandlas av två eller flera aktörer som de fastställt för sina respektive ändamål inom ramen för en verksamhet som till vissa delar är gemensam eller på en plattform som inte upprätthålls av den personuppgiftsansvarige eller åtminstone inte av alla personuppgiftsansvariga.

Även när uppgifter lämnas ut från en myndighet till en annan för att de ska kunna utföra sina lagstadgade uppgifter kan det bli aktuellt att bedöma om det endast är fråga om utlämnande av uppgifter, varvid båda behandlar personuppgifter för egen räkning och för egna ändamål som självständiga personuppgiftsansvariga, eller om det är fråga om gemensamt personuppgiftsansvar. Behandlingsrollen ska motsvara de faktiska omständigheterna och kan inte avtalas mellan parterna.

Mer information: 

• Korpisaari, Kuka vastaa henkilötietojen käsittelystä – rekisterinpitäjyyden ja yhteisrekisterinpitäjyyden vaikea rajanveto. Teoksessa Halila, Yksityisoikeus- ja oikeuskulttuuri, Juhlajulkaisu, Edita Helsinki 2022.

Ett personuppgiftsbiträde handlar för den personuppgiftsansvariges räkning

Ett personuppgiftsbiträde är en aktör som behandlar personuppgifter för den personuppgiftsansvariges räkning. Personuppgiftsbiträdet är en separat enhet i förhållande till den personuppgiftsansvarige och ska behandla personuppgifter för den personuppgiftsansvariges räkning. Personuppgiftsbiträdet kan exempelvis vara ett företag, en enskild näringsidkare, en myndighet eller en förening. Ett stort antal tjänsteleverantörer är personuppgiftsbiträden. Med personuppgiftsbiträde avses däremot inte anställda som agerar under den personuppgiftsansvariges befogenhet och som behandlar personuppgifter som en del av sina arbetsuppgifter. Personuppgiftsbiträdet får inte behandla uppgifterna på annat sätt än i enlighet med den personuppgiftsansvariges anvisningar. Vid entreprenad ska rollen som personuppgiftsansvarig bedömas från fall till fall, och rollen som personuppgiftsbiträde kan exempelvis bero på den tjänst som upphandlas samt den personuppgiftsansvariges anvisningar.

Kommunen anlitar ett företag för att hantera löneutbetalningen till sin personal. Kommunen ger tydliga anvisningar om vem som ska betalas, vilka belopp, vid vilket datum, via vilken bank, hur länge uppgifterna ska lagras, vilka uppgifter som ska lämnas till skattemyndigheten och så vidare. I detta fall sker behandlingen av uppgifter i enlighet med kommunens syfte att betala löner till sina anställda och löneadministratören får inte använda uppgifterna för något eget syfte. Det sätt på vilket löneadministratören ska utföra behandlingen är i huvudsak klart och tydligt definierat. Kommunen är personuppgiftsansvarig och löneadministratören är personuppgiftsbiträde, förutsatt att administratören inte handlar i strid med eller överskrider kommunens anvisningar. (Europeiska dataskyddsstyrelsens riktlinjer 07/2020)

En kommun har beslutat att använda en molntjänsteleverantör för att hantera information i anslutning till sina skol- och utbildningstjänster. Molntjänsten tillhandahåller meddelandetjänster, videokonferenser, lagring av dokument, kalenderhantering, ordbehandling etc. och omfattar behandling av personuppgifter om skolbarn och lärare. Molntjänstleverantören tillhandahåller en standardiserad tjänst som erbjuds över hela världen. Kommunen måste dock se till att det överenskomna avtalet uppfyller kraven i dataskyddsförordningen och att de personuppgifter som man är personuppgiftsansvarig för endast behandlas för kommunens ändamål. Kommunen ska även se till att deras specifika anvisningar om lagringstider och radering av data etc. iakttas av molntjänstleverantören oavsett vad som generellt tillhandahålls via den standardiserade tjänsten. Då är molntjänsteleverantören personuppgiftsbiträde. (Europeiska dataskyddsstyrelsens riktlinjer 07/2020)

Mer information: 

• Dataskyddsmyndigheten Datatilsynet, Danmark: Vejledende tekst om rollefordelingen, når private er leverandører til det offentlige (pdf)

1.2 Organiseringen av personuppgiftsansvaret i förvaltningsstadgan

Enligt 90 § i kommunallagen ska varje kommun ha en förvaltningsstadga. Förvaltningsstadgan ska innehålla behövliga bestämmelser om åtminstone organiseringen av förvaltningen och verksamheten, om besluts- och förvaltningsförfarandet och om fullmäktiges verksamhet. I förvaltningsstadgan bestäms hur beslutanderätten fördelas mellan kommunens myndigheter och vilka uppgifter myndigheterna har, och därmed även hur dataskyddsansvaret fördelas inom kommunen.

Allmänna bestämmelser om personuppgiftsansvar behöver också föras in i kommunens förvaltningsstadga. Mallen för förvaltningsstadga som upprätthålls av Kommunförbundet uppdaterades 2025. I mallen har ett nytt stycke lagts till om kommunens eller ett kommunalt organs uppgifter som personuppgiftsansvarig.

Alternativ 1

Kommunen är personuppgiftsansvarig till den del ingen annan myndighet har denna uppgift enligt lagstiftningen. Kommunstyrelsen ansvarar för den personuppgiftsansvariges operativa uppgifter, såsom att utse dataskyddsombud och genomföra lämpliga strategier för dataskydd samt tekniska och organisatoriska åtgärder.

Alternativ 2

Kommunstyrelsen och övriga organ är personuppgiftsansvariga i fråga om behandlingen i verksamheter som lyder under dem, till den del ingen annan myndighet ansvarar för denna uppgift enligt lagstiftningen. Den personuppgiftsansvarige

• Genomför lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter utförs i enlighet med dataskyddslagstiftningen
• Genomför vid behov lämpliga strategier för dataskydd
• Utser ett dataskyddsombud

I alternativ 1 är kommunen personuppgiftsansvarig i fråga om uppgifterna, men kommunstyrelsens allmänna ansvar för ledningen av förvaltningen medför en skyldighet att övervaka att behandlingen av personuppgifter i kommunen sker lagenligt. De uppgifter som hör till den personuppgiftsansvarige anvisas i detta alternativ olika myndigheter i kommunens organisation, men i huvudsak kommunstyrelsen. I alternativ 2 är den vanliga tolkningen att den personuppgiftsansvarige i kommunen är den myndighet som enligt lagstiftningen och andra bestämmelser ansvarar för skötseln av uppgifterna i fråga. Också enligt denna modell kan ansvaret ges kommunstyrelsen samt nämnder och andra organ i fråga om behandlingen av personuppgifter i verksamheter som lyder under dem.

Märk väl att det kan finnas bestämmelser i speciallagstiftningen som innebär att personuppgiftsansvaret ska fördelas på ett sätt som avviker från dessa alternativ. Observera också att kommunstyrelsen är personuppgiftsansvarig åtminstone i fråga om vissa av kommunens gemensamma funktioner, såsom personalförvaltningen. Om personuppgiftsansvaret delegeras genom en bestämmelse i förvaltningsstadgan, ska delegeringen omfatta alla uppgifter som personuppgiftsansvarig, inte bara en formell ställning. Personuppgiftsansvaret ska vara tydligt fastställt i kommunens förvaltningsstadga, och rollen ska motsvara myndighetens faktiska verksamhet när det gäller behandlingen av personuppgifter.

1.3 Fastställande av ansvar genom avtal mellan parterna som behandlar personuppgifter

Identifieringen av rollerna vid behandlingen av personuppgifter är viktig också för att de olika aktörernas ansvarsområden ska kunna fastställas i enlighet med dataskyddsförordningen.

Personuppgiftsansvarig – personuppgiftsbiträde – underbiträde

Enligt dataskyddsförordningen ska behandlingen av personuppgifter regleras genom ett avtal mellan den personuppgiftsansvarige och personuppgiftsbiträdet (artikel 28 i dataskyddsförordningen) samt mellan personuppgiftsbiträdet och det ”underbiträde” som personuppgiftsbiträdet anlitar (artikel 28.4 i dataskyddsförordningen). Om ett sådant avtal saknas strider det mot bestämmelserna i dataskyddsförordningen. I artikel 28 i dataskyddsförordningen anges de faktorer som det ska avtalas om i avtalet. I Europeiska dataskyddsstyrelsens riktlinjer 07/2020 finns mer detaljerade anvisningar om minimiinnehållet i avtalet mellan den personuppgiftsansvarige och personuppgiftsbiträdet. Utöver minimikraven är det ofta nödvändigt att även ta in bestämmelser om andra frågor i avtalet. Sådana frågor kan bland annat vara handläggningen av begäranden om utövande av de registrerades rättigheter, anmälan av personuppgiftsincidenter, genomförandet av revisioner samt fördelningen mellan parterna av de kostnader som dessa åtgärder medför.

Hela behandlingskedjan ska regleras genom skriftliga avtal. Om personuppgiftsbiträdet avser att anlita ett (godkänt) personuppgiftsbiträde som underleverantör (”underbiträde”), ska personuppgiftsbiträdet ingå ett avtal med underbiträdet genom vilket samma skyldigheter åläggs underbiträdet som den personuppgiftsansvarige ålägger personuppgiftsbiträdet, eller så ska skyldigheterna fastställas i annan lagstiftning med stöd av unionsrätten eller medlemsstatens lagstiftning.

Gemensamt personuppgiftsansvariga

Enligt artikel 26 i dataskyddsförordningen ska de gemensamt personuppgiftsansvariga under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt dataskyddsförordningen genom ett inbördes arrangemang, såvida inte de personuppgiftsansvarigas respektive skyldigheter fastställs genom nationell rätt. När det gäller gemensamt personuppgiftsansvariga fastställs ansvarsområdena ofta i lag. Om så är fallet ska det inbördes arrangemanget mellan de gemensamt personuppgiftsansvariga (enligt Europeiska dataskyddsstyrelsens riktlinjer 07/2020, avtal eller annan juridiskt bindande handling) omfatta alla övriga skyldigheter som är nödvändiga för att säkerställa iakttagandet av dataskyddsförordningen och som inte behandlas i lag. Exempelvis är en bestämmelse i förvaltningsstadgan om gemensamt personuppgiftsansvar vanligtvis inte en sådan handling, eftersom de gemensamt personuppgiftsansvariga ska fastställa respektive parts ansvarsområden i detalj för att säkerställa att skyldigheterna enligt dataskyddsförordningen iakttas.

Självständiga personuppgiftsansvariga

Dataskyddsförordningen förpliktar inte direkt att avtala om behandling av personuppgifter mellan självständiga personuppgiftsansvariga. Dock kan det ibland vara nödvändigt för självständiga personuppgiftsansvariga att genom avtal ställa villkor för att hantera risker. I avtalet kan man till exempel fastställa för vilka ändamål uppgifterna får användas och vilka andra villkor som gäller för behandlingen, samt hur man ska göra om de uppgifter som lämnas ut mellan avtalsparterna utsätts för en personuppgiftsincident. Vid utlämnande av uppgifter mellan myndigheter tillämpas även exempelvis offentlighetslagen, vars krav vid behov ska beaktas i avtalen. Ett avtal kan inte begränsa tillämpningen av lagstadgade skyldigheter som gäller behandlingen av personuppgifter.