Der er fælles dataansvar, når to eller flere parter i fællesskab fastlægger formålene med og hjælpemidlerne til en behandling (art. 26). Parterne skal så aftale, hvem der gør hvad, og de registrerede skal kunne se det væsentlige af aftalen. Fælles dataansvar er sjældnere, end navnet lyder. To virksomheder, der udveksler oplysninger, er oftest to selvstændigt dataansvarlige, og en leverandør, der blot får betaling for en ydelse, er databehandler. Emnet er vigtigt, fordi hver part stadig kan drages til ansvar for hele behandlingen over for de personer, det handler om.
Tre roller, der skal skilles ad
Databehandler. Behandler på en andens vegne og har ikke sit eget formål. EDPB skriver, at en part uden eget formål, der blot bliver betalt for sin ydelse, er databehandler og ikke fælles dataansvarlig, selv om begge har gavn af samarbejdet (retningslinjer 07/2020, punkt 62).
Selvstændigt dataansvarlige. Hver part bestemmer sit eget formål og sine egne midler. Datatilsynets eksempel 7 er rejsebureauet, der sender kundernes navne til hotel og flyselskab. De behandler hver især til deres eget formål og er hver for sig dataansvarlige. EDPB’s eksempel er arbejdsgiveren, der indberetter løn til skattemyndighederne (punkt 70). Her er overleveringen en videregivelse.
Fælles dataansvarlige. Parterne træffer beslutningerne sammen, og det gælder både formål og hjælpemidler (punkt 53). Datatilsynets vejledning fra 2017 udtrykker det sådan, at I sammen har ansvaret for behandlingen, og at I alle har ret til at bruge oplysningerne til egne formål.
Den første vurdering er beskrevet i dataansvarlig eller databehandler.
Sådan genkender I det
EDPB bruger to former for fælles beslutning (punkt 54 og 55). Den ene er en fælles beslutning, hvor parterne bestemmer sammen. Den anden er sammenfaldende beslutninger, hvor hver parts beslutning supplerer den andens og er nødvendig for, at behandlingen kan finde sted på den måde.
Spørg derfor:
- Havde behandlingen fundet sted uden begge parter?
- Bestemmer begge, hvad oplysningerne skal bruges til?
- Bestemmer begge, hvilke oplysninger, hvor længe og hvem der får adgang?
- Er formålene fælles eller tæt forbundne?
Et andet kendetegn er, at en part ikke behøver at have adgang til oplysningerne for at være med i ansvaret (punkt 56). Der skal heller ikke være ligelig fordeling, for parterne kan være involveret i forskellige faser og i forskelligt omfang (punkt 58).
Fælles system er ikke nok i sig selv. Bruger flere en fælles database, men bestemmer hver deres eget formål, kan fælles dataansvar være udelukket (punkt 71).
Eksempler
EU-Domstolens praksis har strakt begrebet. EDPB gengiver en dom om en virksomhed, der indlejrede en knap fra et socialt medie på sit website. Den blev anset for at have fastlagt midlerne sammen med udbyderen for den del, hvor besøgendes oplysninger blev indsamlet og sendt videre (punkt 67). Valget af et værktøj kan altså skabe et fælles ansvar for en del af kæden.
Datatilsynets eksempel 6 er to myndigheder med et fælles lønsystem. Den ene udbetaler løn, og den anden kontrollerer og laver statistik. De deler både systemet og til dels formålet.
Følgende eksempler er tænkte og skal vurderes konkret.
- Fælles kampagne. To virksomheder laver sammen en konkurrence, aftaler, hvilke oplysninger der indsamles, og bruger begge listen bagefter.
- Koncernens kundedatabase. Flere selskaber fastlægger i fællesskab, hvordan kundedata samles og bruges. Driver ét selskab blot databasen for de andre, er det nærmere databehandler.
- Klinikfællesskab eller franchisekæde. Parterne deler et system og fastlægger reglerne sammen. Her kan fordelingen være svær og er værd at få vurderet.
Det kræver art. 26
Parterne skal på en gennemsigtig måde fastlægge deres ansvar for at overholde forordningen, navnlig for de registreredes rettigheder og oplysningspligten. Aftalen skal afspejle deres roller og forhold til de registrerede, og det væsentligste indhold skal gøres tilgængeligt for dem.
To forhold følger med.
- De registrerede er ikke bundet af jeres fordeling. De kan rette krav mod hver af jer. Den interne aftale ændrer ikke på det, og tilsynet kan også gå til begge parter.
- Erstatning. Datatilsynets vejledning oplyser, at parterne hæfter solidarisk, hvis den fælles behandling forvolder skade. Fordelingen mellem jer er et spørgsmål, som aftalen bør tage stilling til, og som kan være et spørgsmål til advokat.
Datatilsynets skabelon
Datatilsynet har en skabelon til aftale om fælles dataansvar på dansk og engelsk på siden med blanketter og skabeloner. Vi læste den danske udgave 5. november 2026. Den går igennem:
- den behandling, der er omfattet, og hvad der har været afgørende for vurderingen,
- den overordnede ansvarsfordeling,
- behandlingsgrundlag og principper,
- de registreredes rettigheder, og hvad der sker, når en henvendelse rammer den forkerte part,
- sikkerhed, risikovurdering og dokumentation,
- brug af databehandlere og underdatabehandlere.
Der er mere at aftale, end skabelonen giver svar på. Med IT-øjne er tre punkter særlig praktiske. Hvem er systemejer, og hvem må ændre opsætningen? Hvem modtager besked om brud fra leverandøren, og hvem anmelder? Og hvem kan søge og slette, når en person beder om indsigt? En aftale, der placerer ansvaret hos en part uden adgang til systemet, holder ikke i praksis.
Bruger I en fælles leverandør, skal databehandleraftalen passe til fordelingen, se hvornår skal I have en databehandleraftale?
Hvad I gør nu
Gå jeres samarbejder igennem, og find dem, hvor I og en anden deler oplysninger. Stil de fire spørgsmål. Peger svaret på fælles dataansvar, så brug skabelonen, skriv det væsentlige af aftalen ind i jeres oplysningstekst, og opdater fortegnelsen. Peger det på to selvstændigt dataansvarlige, så tjek, at I har grundlag for videregivelsen. Skriv vurderingen ned i begge tilfælde. Ledelsen beslutter, og DPO’en rådgiver og følger op. Er rollerne tvivlsomme, og står der meget på spil, er det et spørgsmål til advokat.
Det skal I lade være med
- At bruge ordet om alle samarbejder · de fleste er to selvstændige dataansvarlige eller en databehandler.
- At tro, at den interne aftale binder de registrerede · de kan gå til hver af jer.
- At fordele ansvar på papir uden adgang i systemet · den ansvarlige skal kunne handle.
Det skal I kræve af den eksterne
- ☐ En vurdering af samarbejder, hvor flere bruger samme oplysninger.
- ☐ Rådgivning om fordelingen i aftalen om fælles dataansvar.
- ☐ Kontrol af, at oplysningsteksten og fortegnelsen afspejler aftalen.
- ☐ Afklaring af, hvem der handler ved brud og anmodninger.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 4, nr. 7, og art. 26.
- EDPB: Retningslinjer 07/2020, version 2.1: punkt 50 til 71.
- Datatilsynet: Vejledning om dataansvarlige og databehandlere: afsnit 4 og eksempel 6 og 7.
- Datatilsynet: Blanketter og skabeloner: skabelon til aftale om fælles dataansvar. Læst 5. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Tjeklister og skabeloner · Oplysningspligten
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
