Genvejsmenu:
S - Indhold
1 - Forside
2 - Nyheder
3 - Oversigt
4 - Søg

Anmeldelse af EDB-servicebureau

Det følger af persondatalovens § 53, at databehandlere, der er etableret i Danmark, og som udøver edb-servicevirksomhed, skal anmeldes til Datatilsynet.

Datatilsynet har i praksis besluttet kun at anse en virksomhed for at være anmeldelsespligtig som edb-servicebureau, hvis virksomheden har et almindeligt kommercielt og erhvervsmæssigt sigte, og driftsafvikling af databehandlinger med personoplysninger for andre er en aktivitet, som udbydes på almindelige markedsvilkår.

Efter Datatilsynets praksis er der kun anmeldelsespligt efter persondatalovens § 53, hvis der er tale om en egentlig edb-servicebureauvirksomhed, dvs. hvor dette er virksomhedens egentlige formål.

Hvis virksomheden tillige udøver andet erhverv end edb-servicevirksomhed, er der efter Datatilsynets opfattelse som udgangspunkt ikke anmeldelsespligt. Der er således efter Datatilsynets praksis eksempelvis ikke anmeldelsespligt efter persondatalovens § 53, hvis virksomheden også udvikler software.

Datatilsynet skal understrege, at spørgsmålet om anmeldelsespligt ingen betydning har for virksomhedens og dens kunders forpligtelser til at overholde persondataloven. Persondatalovens regler gælder selvfølgelig i fuldt omgang, uanset at der ikke er anmeldelsespligt som edb-servicebureau.

Det skal i den forbindelse fremhæves, at anvendelsen af en databehandler ved behandling af personoplysninger indebærer, at der skal være en skriftlig aftale mellem databehandleren og den dataansvarlige virksomhed eller myndighed (databehandlerens kunde). Læs mere om kravene til en databehandleraftale.

Den dataansvarlige for behandlingen – typisk databehandlerens kunde – skal endvidere sikre sig, at databehandleren kan træffe de nævnte tekniske og organisatoriske sikkerhedsforanstaltninger, og påse, at dette sker. Det kan i den sammenhæng f.eks. være relevant at indhente en årlig revisionserklæring fra en uafhængig tredjepart.

Databehandlerens kunder – de dataansvarlige myndigheder eller virksomheder – kan være anmeldelsespligtige til Datatilsynet. Hvis behandling af personoplysninger, som udføres hos en databehandler, er anmeldelsespligtig, skal den dataansvarlige myndighed eller virksomhed i anmeldelsen til Datatilsynet angive, hvem der er databehandler.

En virksomhed, som er databehandler for andre, kan også selv være anmeldelsespligtig, hvis virksomheden også som dataansvarlig behandler oplysninger omfattet af anmeldelsespligten til Datatilsynet – typisk de følsomme personoplysninger omfattet af lovens §§ 7 og 8. Dette kan eventuelt være tilfældet i forhold til de ansatte i virksomheden.