Hvordan demonstrere samsvar med GDPR artikkel 26

GDPR Artikkel 26 sikrer at i tilfelle felles behandlingsansvarlige opererer med samme datasett, er ansvaret klart forstått mellom alle parter, og registrerte holdes godt informert om hvordan dataene deres administreres mellom to forskjellige, men samarbeidende behandlingsansvarlige.

GDPR artikkel 26 juridisk tekst

EU GDPR-versjon

Felleskontrollere

1. Der to eller flere behandlingsansvarlige i fellesskap bestemmer formålene og metodene for behandlingen, skal de være felles behandlingsansvarlige. De skal på en gjennomsiktig måte fastsette sitt respektive ansvar for å overholde forpliktelsene i henhold til denne forordning, særlig når det gjelder utøvelse av rettighetene til den registrerte og deres respektive plikter til å gi informasjonen nevnt i artikkel 13 og 14, ved hjelp av av en ordning mellom dem med mindre, og i den grad, de respektive ansvarsområdene til de behandlingsansvarlige er bestemt av unions- eller medlemsstatslovgivningen som de behandlingsansvarlige er underlagt. Ordningen kan utpeke et kontaktpunkt for registrerte.
2. Ordningen nevnt i nr. 1 skal behørig gjenspeile de respektive rollene og forholdene til de felles behandlingsansvarlige i forhold til de registrerte. Essensen av ordningen skal gjøres tilgjengelig for den registrerte.
3. Uavhengig av vilkårene for ordningen nevnt i nr. 1, kan den registrerte utøve sine rettigheter i henhold til denne forordning med hensyn til og mot hver av de behandlingsansvarlige.

UK GDPR-versjon

Felleskontrollere

1. Der to eller flere behandlingsansvarlige i fellesskap bestemmer formålene og metodene for behandlingen, skal de være felles behandlingsansvarlige. De skal på en gjennomsiktig måte fastsette sitt respektive ansvar for å overholde forpliktelsene i henhold til denne forordning, særlig når det gjelder utøvelse av rettighetene til den registrerte og deres respektive plikter til å gi informasjonen nevnt i artikkel 13 og 14, ved hjelp av av en ordning mellom dem med mindre, og i den grad, de respektive ansvarsområdene til de behandlingsansvarlige er bestemt av unions- eller medlemsstatslovgivningen som de behandlingsansvarlige er underlagt. Ordningen kan utpeke et kontaktpunkt for registrerte.
2. Ordningen nevnt i nr. 1 skal behørig gjenspeile de respektive rollene og forholdene til de felles behandlingsansvarlige i forhold til de registrerte. Essensen av ordningen skal gjøres tilgjengelig for den registrerte.
3. Uavhengig av vilkårene for ordningen nevnt i nr. 1, kan den registrerte utøve sine rettigheter i henhold til denne forordning med hensyn til og mot hver av de behandlingsansvarlige.

Teknisk kommentar

Konseptet "Joint Controllership"

GDPR artikkel 26 definerer felles behandlingsansvarlig som ethvert scenario der to behandlingsansvarlige «sammen bestemmer formålene og metodene for behandling». På et grunnleggende nivå betyr dette at to felles behandlingsansvarlige må utføre praktiske, snarere enn formelle, roller i behandlingen av en persons data.

Når man analyserer i hvilken grad en part er en felles behandlingsansvarlig, bør det tas hensyn til hvorvidt en organisasjon utøver "avgjørende kontroll" over en persons data.

Dette betyr ikke at to kontroller skal ha en jevn, uniformert innflytelse gjennom hele behandlingsoperasjonen. Ulike grader av kontroll kan utøves av hver kontrollør på forskjellige stadier.