Ábyrgðaraðilar og vinnsluaðilar
Ábyrgðaraðili að vinnslu persónuupplýsinga getur verið einstaklingur, fyrirtæki, stjórnvald eða annar aðili. Hann getur samið við vinnsluaðila til að vinna fyrir sig á grundvelli samnings.
Hver ber ábyrgð á vinnslu persónuupplýsinga?
Persónuverndarlögin fjalla mikið um skyldur þeirra sem vinna með persónuupplýsingar. Í lögunum er gerður greinarmunur á því hvort sá sem vinnur með upplýsingarnar ákveður sjálfur tilgang og aðferðir við vinnsluna, eða hvort hann hefur tekið að sér að vinna verkið fyrir einhvern annan. Í fyrra tilvikinu telst sá sem vinnur með upplýsingarnar vera ábyrgðaraðili í skilningi laganna og ber hann því megin ábyrgðina á því að vinnslan sé í samræmi við lög. Sá sem vinnur með persónuupplýsingar fyrir einhvern annan, á grundvelli samnings þar að lútandi, er hins vegar kallaður vinnsluaðili.
Almennt getur ábyrgðaraðilinn ekki dregið úr ábyrgð sinni á vinnslunni með því að semja við vinnsluaðila.
Vinnsluaðili, sem tekur að sér vinnslu persónuupplýsinga fyrir annan, getur einnig borið sjálfstæða ábyrgð að nokkru leyti, til dæmis ef hann fer ekki eftir vinnslusamningnum við ábyrgðaraðilann, og ef hann tryggir ekki nægilega vel öryggi persónuupplýsinganna sem honum var falið að vinna með.
Sem dæmi um ábyrgðaraðila og vinnsluaðila má nefna banka sem semur við auglýsingastofu um að senda auglýsingapóst til viðskiptavina bankans. Bankinn er þá ábyrgðaraðili, en auglýsingastofan er vinnsluaðili, og um þessa vinnslu persónuupplýsinga þarf að gera sérstakan vinnslusamning sem uppfyllir skilyrði persónuverndarlaga.
Hvað gerir ábyrgðaraðili?
Ábyrgðaraðili er sá sem ákveður tilgang og aðferðir við vinnslu persónuupplýsinga. Persónuvernd er t.d. ábyrgðaraðili að vinnslu allra persónuupplýsinga sem fram fer hjá stofnuninni.
Ábyrgðaraðilinn getur verið einstaklingur, fyrirtæki, stjórnvald eða annar aðili.
Hvað gerir vinnsluaðili?
Vinnsluaðili er sá sem vinnur persónuupplýsingar fyrir hönd ábyrgðaraðila á grundvelli samnings þar að lútandi. Samningurinn nefnist vinnslusamningur og þarf að uppfylla tiltekin skilyrði sem sett eru í persónuverndarlögum. Vinnsluaðilar geta t.d. verið hýsingaraðilar
Vinnsluaðili getur verið einstaklingur, fyrirtæki, stjórnvald eða annar aðili.