Underdatabehandler

Datatilsynet præciserer, at databehandleraftaler efter GDPR art. 28 stadig er påkrævet ved pseudonymiserede data, selv når databehandleren ikke kan identificere de registrerede. Udmeldingen følger SRB-dommen og skærper fokus på oplysningspligt og den dataansvarliges perspektiv.

Advokater skal håndtere overlap mellem tavshedspligt og GDPR, særligt hvor transparenskrav kolliderer med fortrolighed. Sikkerhed hos både firma og leverandører er afgørende, og brud kan udløse anmeldelse til Datatilsynet. Vurder altid hjemmel og undtagelser efter begge regelsæt.

EDPB præciserer dataansvarliges pligter ved brug af databehandlere og cloudleverandører, herunder krav om identificering, verifikation og dokumentation af underdatabehandlere samt dokumentation ved tredjelandsoverførsler. Målet er ensartet håndhævelse på tværs af EU.

Kommunerne efterlever Datatilsynets påbud i Chromebook-sagen: ulovlig deling til Googles egne formål er ophørt, og kontrakten er strammet. Tredjelandsoverførsler begrænses, men kommunerne skal selv lukke risikofyldte tjenester. EDPB-udtalelse afventer endelig vurdering af underdatabehandlere.