Vikaren kan i mange tilfælde regnes med til jeres egen organisation, når vedkommende arbejder som jeres øvrige ansatte og under jeres ledelse. Konsulenten kan som udgangspunkt ikke. For konsulenten skal I spørge, om jeres køb helt eller delvist drejer sig om behandling af personoplysninger for jer og under jeres instruks. Er svaret ja, er konsulenten databehandler, og I skal have en aftale. Er svaret nej, skal I styre adgangen med almindelig sikkerhed. Reglerne kommer fra Datatilsynets vejledende principper om dataansvar for vikarer og konsulenter og fra EDPB’s retningslinjer 07/2020.
Hvorfor spørgsmålet opstår
En databehandler er en anden end den dataansvarlige. Egne medarbejdere er ikke databehandlere, for de behandler oplysninger som en del af virksomheden. Der kan derfor kun være tale om en databehandlerkonstruktion, når behandlingen sker hos en, der ikke hører til jeres juridiske enhed. Vikarer og konsulenter står på grænsen, fordi de arbejder hos jer og ofte er ansat et andet sted.
Vikaren
En vikar er typisk ansat og aflønnet af et vikarbureau, altså en anden juridisk enhed. Det vil almindeligvis pege på en databehandlerkonstruktion. Datatilsynet mener dog, at vikaren i mange tilfælde alligevel må kunne regnes med til den dataansvarlige. Det gælder, når vikarens rolle og opgaver svarer til de øvrige medarbejderes, herunder når vikaren står under jeres direkte ledelsesret. Tilsynet nævner som klare tegn, at I har den fulde instruksbeføjelse og pligten til at føre tilsyn med arbejdet, og at I har samme rettigheder og pligter over for vikaren som over for eget personale.
At lønnen i sidste ende kommer fra bureauet, skal altså ikke stå alene. EDPB siger noget tilsvarende om personer under den dataansvarliges direkte myndighed, herunder midlertidigt ansatte (punkt 78).
I praksis behandler I derfor vikaren som en ansat. Vedkommende bør få samme instruktion, samme regler og samme adgangskontrol som andre, og art. 32, stk. 4, siger, at personer under jeres myndighed kun må behandle efter instruks.
Konsulenten
Datatilsynet ser konsulenter anderledes. I har ikke de samme rettigheder og pligter over for dem som over for eget personale, og de har typisk en anden arbejdsgiver. Derfor hører deres arbejde umiddelbart ikke under jeres interne behandling. Det gælder også den selvstændige freelancer, som er sin egen juridiske enhed.
Det vil ikke sige, at alle konsulenter er databehandlere. Det afgørende er opgaven.
Ingen databehandler, for ydelsen drejer sig om noget andet:
- En konsulent analyserer arbejdsgange og foreslår forbedringer.
- En IT-konsulent finder og retter en fejl i software, og ændrer kildekoden. Personoplysninger er ikke en del af opgaven.
Databehandler, for ydelsen består helt eller delvist i behandling:
- En konsulent gennemgår sager for at finde fejl og skal derfor se og søge i oplysningerne.
- En IT-konsulent retter løbende fejlregistrerede personoplysninger i en database.
EDPB’s eksempel peger samme vej. Konsulenten, der retter en fejl, og hvor adgang til oplysninger er rent tilfældig og begrænset, er hverken databehandler eller dataansvarlig. Den generelle IT-leverandør med systematisk adgang er derimod databehandler, se IT-leverandøren har fjernadgang.
Grænsen går altså mellem det tilfældige og det systematiske, og det er en god idé at kigge på opgaven, som den faktisk løses. En udvikler, der skal rette en fejl, men får fuld læseadgang til produktionsdatabasen i et halvt år, ligger tættere på det systematiske, end kontrakten giver indtryk af. Fjernes adgangen, eller rettes fejlen i et testmiljø med kunstige data, er problemet ofte løst.
Tre mulige udfald for konsulenten
- Databehandler. Der skal en databehandleraftale til efter art. 28, og konsulenten må kun behandle efter instruks. Se hvornår skal I have en databehandleraftale?
- Ekstern med mulig adgang. Står en person uden for databehandlerrollen, men tæt nok på til at se oplysninger, skal I sikre dem med foranstaltninger, der passer til risikoen. Det kan være begrænset adgang, logning og en tavshedserklæring. Datatilsynets eksempel med reparatøren af en kopimaskine bruger netop en sådan erklæring.
- Selvstændigt dataansvarlig. Har konsulenten selv brug for at behandle oplysninger for at levere, fx kontaktoplysninger på den medarbejder, han skal skrive med, er han selvstændigt dataansvarlig for det.
Samme konsulent kan have flere af disse roller på én gang. Fastlægger I formål og hjælpemidler sammen med en samarbejdspartner, er spørgsmålet fælles dataansvar.
Med IT-øjne
Vurderingen skal laves, før adgangen gives. Når en ekstern får et login, bør tre ting ligge fast: hvad opgaven er, hvilke data der er brug for, og hvornår adgangen lukker. En konsulent uden behov for persondata skal have testdata eller maskerede data. Hvordan adgange til eksterne håndteres i praksis, er et emne for IT-ledelsen. Fra et GDPR-synspunkt er spørgsmålet, om den adgang, der er givet, passer til den rolle, I har vurderet. Se også alle kan se alt.
Den eksterne DPO er et særtilfælde, der har sin egen gennemgang i er den eksterne DPO databehandler?
Et tænkt eksempel
En virksomhed lejer en vikar til bogholderiet gennem et bureau. Vikaren sidder på kontoret, følger de samme procedurer og tager imod besked fra økonomichefen. Vikaren regnes med til virksomheden, og der er ingen grund til en databehandleraftale med bureauet om det arbejde.
Samme virksomhed hyrer en freelance-udvikler til at flytte kundedata til et nyt system. Selve opgaven er behandling af personoplysninger efter instruks, så udvikleren er databehandler, og der skal en aftale til. Bor vedkommende uden for EU, kommer reglerne om overførsel oveni.
Det gør I nu
Find alle eksterne med en aktiv konto. Skriv ud for hver, om opgaven handler om persondata, om adgangen er systematisk eller tilfældig, og hvilken af de tre placeringer der gælder. Luk de konti, der ikke længere bruges, og indgå de aftaler, der mangler. En ekstern DPO kan rådgive om vurderingen og kontrollere listen. Beslutningerne ligger hos virksomheden.
Det skal I lade være med
- At gøre alle eksterne til databehandlere · opgaven afgør rollen.
- At antage, at vikaren er intern, fordi vedkommende sidder hos jer · ledelsesretten og vilkårene tæller.
- At give fuld adgang for en sikkerheds skyld · adgangen kan ændre rollen.
Det skal I kræve af den eksterne
- ☐ En gennemgang af eksterne med adgang og den rolle, de har.
- ☐ Rådgivning om databehandleraftale eller tavshedserklæring i hvert tilfælde.
- ☐ Kontrol af, at adgange svarer til opgaven og lukkes igen.
- ☐ Et enkelt spørgsmål i processen, når der hyres eksterne.
Kilder
- Datatilsynet: Dataansvar, vikarer og konsulenter: de vejledende principper og eksemplerne.
- EDPB: Retningslinjer 07/2020, version 2.1: punkt 76 til 78 og eksemplerne om IT-support og softwarefejl.
- Datatilsynet: Vejledning om dataansvarlige og databehandlere: eksempel 1.
- Forordning (EU) 2016/679, dansk tekst: art. 4, nr. 8, art. 28 og art. 32, stk. 4.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvornår skal I have en databehandleraftale? · IT-leverandøren har fjernadgang
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
