En dataansvarlig klagede over, at deres tidligere underleverandør af et it-system ikke ville tilbagelevere den dataansvarliges kundeoplysninger.
På baggrund af klagen indledte Datatilsynet en sag af egen drift over for virksomhedens tidligere it-leverandør (i sagen omtalt som virksomhedens underdatabehandler).
I afgørelsen har tilsynet udtalt alvorlig kritik, udstedt påbud om tilbagelevering af den dataansvarliges kundeoplysninger samt udstedt et forbud mod at behandle de omtalte kundeoplysninger, medmindre behandlingen sker efter den dataansvarliges instruks.
De faktiske forhold var afgørende
Af sagen fremgår det, at der var indgået en databehandleraftale mellem underdatabehandleren og databehandleren, hvori databehandleren var anført som dataansvarlig over for underdatabehandleren (og således ikke den oprindelige dataansvarlige).
Underdatabehandleren afviste – med henvisning til denne aftale – at have handlet i strid med databeskyttelsesforordningen, ved ikke at imødekomme den dataansvarliges krav om udlevering af data. De anførte, at de som forhandlerens underdatabehandler ikke var underlagt den dataansvarliges direkte instruktionsbeføjelse, hvorfor den oprindelige dataansvarlige ikke kunne instruere dem i at tilbagelevere kundeoplysningerne.
Datatilsynet fandt i sagen frem til, at de nævnte kundeoplysninger både af databehandleren og underdatabehandleren de facto blev behandlet på vegne den oprindelige dataansvarlige. Derfor kunne det forhold, at underdatabehandleren og databehandleren havde indgået en databehandleraftale, hvori databehandleren anført som værende dataansvarlig, ikke føre et andet resultalt.
I den sammenhæng bemærkede Datatilsynet, at underdatabehandleren selv havde fastlagt formålet med opbevaringen ved ikke at imødekomme den dataansvarliges anmodning om at tilbagelevering af de omtalte kundedata og derved også blev selvstændig dataansvarlig for den fortsatte opbevaring af kundeoplysningerne.
Vil du vide mere?
Læs afgørelsen her.
Find vejledning om rollefordelingen mellem dataansvarlige og databehandlere her.
Journalister kan kontakte presseansvarlig Anders Due på tlf. 29 49 32 83.