Behandlingsansvarlig og databehandler

Beskrivelse av rollene

Personvernforordningen (GDPR) spesifiserer to roller for bedrifter som behandler personopplysninger: “Behandlingsansvarlig” og “Databehandler”.

“Behandlingsansvarlig”

Den som har ansvar for behandling av personopplysninger, som bestemmer formålet med behandlingen og hvilke hjelpemidler som kan benyttes er Behandlingsansvarlig. Det er denne parten som er direkte ansvarlig overfor sine brukere.

“Databehandler”

Dersom Behandlingsansvarlig delegerer deler av tjenesten til en annen bedrift har disse rollen som Databehandler på vegne av Behandlingsansvarlig. Det foreligger kun en databehandler-relasjon hvis oppdraget som er delegert går ut på å behandle personopplysninger på vegne av Behandlingsansvarlig.

Datatilsynets veileder gir en mer utfyllende beskrivelse av rollene.

Fixrate og bankene sin rolle overfor bedrifter

Både Fixrate og bankene håndterer hver for seg personopplysninger på vegne av bedriftene som bruker Fixrate og gjør innskudd i en bank.

Fixrate leverer en selvstendig tjeneste direkte til bedrifter som opptrer som innskytere på markedsplassen. Bedriftens brukere oppgir personopplysninger for å få tilgang til tjenesten og når de benytter tjenesten for å fylle ut og signere dokumenter. Fixrate er Databehandler på vegne av bedriftene som benytter tjenesten.

I de tilfeller hvor en bedrift ønsker å gjøre et innskudd i en bank benytter de funksjonaliteten på fixrate.no for å oversende personopplysninger om kontoåpner og personer som er nevnt i kundeerklæringen til banken. Kontoåpner har gitt eksplisitt samtykke til dette signert med BankID. Når en bedrift åpner en konto hos en bank etablerer bedriften (ved kontoåpner) og banken en direkte avtale hvor Fixrate ikke er part. I denne relasjonen er banken Behandlingsansvarlig for personopplysningene som bedriften oversender via Fixrate.

Fixrate behandler ingen personopplysninger om bedriftens brukere på vegne av bankene som opptrer på markedsplassen. Fixrate er dermed ikke å regne som Databehandler på vegne av bankene når det gjelder opplysninger om bedriftens brukere.

Bankene behandler heller ingen personopplysninger på vegne av Fixrate og er dermed ikke å regne som Databehandler på vegne av Fixrate.

Fixrate og underleverandører

Fixrate benytter underleverandører for enkelte deler av sin tjeneste, blant annet tjenesten for online chat og digital signering av dokumenter. Alle underleverandører som behandler personopplysninger på vegne av Fixrate har signert en databehandler-avtale med Fixrate. Denne sikrer at underleverandørene ikke benytter personopplysningene til andre formål enn det Fixrate har gitt tillatelse til.

Fixrate sin rolle overfor bank-ansatte

Ansatte i banken må logge inn med BankID for å kunne benytte tjenesten. Fixrate mottar i den sammenheng persondata for å kunne gi den enkelte bank-ansatte tilgang til tjenesten.

Persondata fra den bank-ansatte benyttes ikke til noe annet formål enn å gi den ansatte tilgang til tjenesten. Fixrate behandler personopplysninger for bankens ansatte på vegne av banken for at banken skal kunne benytte tjenesten. Banken er derfor Behandlingsansvarlig for sine ansattes personopplysninger. Fixrate er Databehandler på vegne av banken når det gjelder personopplysninger om bankens brukere.