Personuppgiftsansvarig (data controller)
Personuppgiftsansvarig är den organisation eller person som bestämmer varför och hur personuppgifter behandlas. Enligt GDPR bär den personuppgiftsansvarige huvudansvaret: att välja rättslig grund, informera de registrerade, besvara deras begäranden och anmäla incidenter, även när själva behandlingen utförs av någon annan.
Att bestämma ändamål och medel
Testet handlar inte om vem som lagrar uppgifterna eller vem som skrev koden. Det handlar om vem som bestämmer. Väljer du vad som ska samlas in, varför, hur länge det ska sparas och vem mer som får se det, är du personuppgiftsansvarig – även om varje byte ligger på någon annans servrar.
Konkret ska den personuppgiftsansvarige:
- fastställa och dokumentera en rättslig grund för varje ändamål,
- ge de registrerade tydlig information om behandlingen,
- hantera begäranden om tillgång, rättelse, radering och dataportabilitet,
- anmäla personuppgiftsincidenter som når tröskeln till tillsynsmyndigheten, normalt inom 72 timmar,
- och anlita varje personuppgiftsbiträde genom ett skriftligt avtal, efter att ha kontrollerat att biträdet ger tillräckliga garantier.
Rollen som oftast blir omvänd
Det här är den vanligaste förväxlingen på hela området, och den går nästan alltid åt samma håll: någon bygger en app på en plattform och antar att plattformen är personuppgiftsansvarig eftersom det är plattformen som lagrar uppgifterna.
Normalt är det tvärtom. Bygger du en app och bestämmer att dina användares e-postadresser och orderhistorik ska samlas in, är du personuppgiftsansvarig. Plattformen som driftar appen agerar på dina instruktioner och är ditt biträde. En driftleverantör, en appbyggare eller en databastjänst bestämmer inte varför dina användares uppgifter finns, och är därför inte ansvarig för dem – vilket betyder att skyldigheterna mot dina användare ligger hos dig.
Två närliggande fall är värda att känna till. Gemensamt personuppgiftsansvariga förekommer när två parter verkligen bestämmer tillsammans, och de måste skriftligen komma överens om vem som gör vad. Och ett biträde som börjar använda uppgifterna för egna ändamål – analys för produktutveckling, modellträning – blir personuppgiftsansvarigt för just den behandlingen, med egna skyldigheter.
Varför det spelar roll i praktiken
Den personuppgiftsansvarige är den som en tillsynsmyndighet kontaktar och den som en användare kan rikta anspråk mot. Rollen avgör också vem som måste besvara en begäran om radering enligt GDPR artikel 17 – vilket är skälet till att en app med inloggning behöver en verklig väg till kontoradering i stället för en supportadress.
Det här är en förklaring av begreppet, inte juridisk rådgivning.
Vanliga frågor
Om jag bygger en app på en plattform, är jag eller plattformen personuppgiftsansvarig?
Nästan alltid du. Det är du som bestämmer vilka uppgifter appen samlar in, varför och hur länge de sparas, vilket är precis testet för personuppgiftsansvar. Plattformen lagrar och behandlar dem på dina instruktioner, vilket gör den till ditt personuppgiftsbiträde. Det här är en förklaring, inte juridisk rådgivning.
Bygg det själv
NorthernGo förvandlar en beskrivning i ren text till en fungerande webbapp med databas, inloggning och en live-adress. Lokal AI-generering körs på ditt eget grafikkort, är obegränsad och ingår gratis i alla prisplaner.