Behandlingsansvarlig vs databehandler i bookingsystemer

Når kundene dine booker time på nett, er din bedrift behandlingsansvarlig for kundeopplysningene, fordi det er du som bestemmer hvorfor og hvordan de brukes. Leverandøren av bookingsystemet er databehandler: den lagrer og behandler opplysningene på dine vegne og etter dine instrukser. Forholdet reguleres i en databehandleravtale.

Hva er en behandlingsansvarlig?

Behandlingsansvarlig er den som bestemmer formålet med og midlene for behandlingen av personopplysninger (GDPR artikkel 4 nr. 7). For en salong eller klinikk betyr det at bedriften bestemmer hvilke opplysninger kunden må oppgi ved booking, hvor lenge de lagres, og hva de brukes til.

Som behandlingsansvarlig må du blant annet:

• informere kundene om hvordan opplysningene brukes, for eksempel i en personvernerklæring
• ha et lovlig grunnlag for behandlingen, som avtale for selve bookingen og samtykke for markedsføring
• svare på innsynskrav og krav om sletting, som hovedregel innen én måned
• velge leverandører som gir tilstrekkelige garantier for sikkerhet

Les mer i Klartes veiledning om ansvaret som behandlingsansvarlig.

Hva er en databehandler?

En databehandler behandler personopplysninger på vegne av den behandlingsansvarlige (GDPR artikkel 4 nr. 8). Databehandleren kan ikke bruke opplysningene til egne formål. Den må sikre dataene, bare bruke godkjente underleverandører og hjelpe den behandlingsansvarlige med blant annet innsynskrav.

Behandlingsansvarlig vs databehandler: forskjellen kort

• Hvem bestemmer? Behandlingsansvarlig bestemmer formål og midler. Databehandler følger instrukser.
• Hvem svarer kunden? Behandlingsansvarlig svarer på innsynskrav. Databehandler hjelper.
• Hvem har avtaleplikt? Begge. GDPR artikkel 28 krever en databehandleravtale mellom dem.
• Eksempel: Salongen er behandlingsansvarlig. Bookingsystemet er databehandler.

Samme selskap kan ha begge roller for ulike opplysninger. Klarte er for eksempel behandlingsansvarlig for opplysninger om sine egne kontoeiere, men databehandler for opplysningene om kundene som booker hos bedriftene.

Hva bør databehandleravtalen inneholde?

Avtalen skal beskrive hvilke opplysninger som behandles, til hvilket formål, hvor lenge, hvordan de sikres, og hvilke underleverandører som brukes. Den skal også si hva som skjer med dataene når avtalen avsluttes. Se Klartes databehandleravtale og listen over underleverandører.

Sjekkliste for bedrifter som tar imot bookinger på nett

1. Inngå databehandleravtale med bookingleverandøren.
2. Sjekk hvor dataene lagres. Klarte lagrer data i EU.
3. Be bare om opplysningene du trenger for å gjennomføre timen.
4. Hold samtykke til markedsføring adskilt fra selve bookingen.
5. Ha en rutine for innsynskrav.
6. Ikke skriv helseopplysninger eller andre sensitive opplysninger i bookingnotater hvis du ikke har grunnlag for det.

Denne artikkelen er generell informasjon og ikke juridisk rådgivning. Ta kontakt med en advokat eller Datatilsynet ved konkrete spørsmål. Se også definisjonene i ordlisten.