Personuppgiftsansvarig vs personuppgiftsbiträde

När dina kunder bokar tid online är ditt företag personuppgiftsansvarigt för kunduppgifterna, eftersom det är du som bestämmer varför och hur de används. Leverantören av bokningssystemet är personuppgiftsbiträde: den lagrar och behandlar uppgifterna för din räkning och enligt dina instruktioner. Förhållandet regleras i ett personuppgiftsbiträdesavtal.

Vad är en personuppgiftsansvarig?

Personuppgiftsansvarig är den som bestämmer ändamålen med och medlen för behandlingen av personuppgifter (GDPR artikel 4.7). För en salong eller klinik betyder det att företaget bestämmer vilka uppgifter kunden måste lämna vid bokning, hur länge de sparas och vad de används till.

Som personuppgiftsansvarig måste du bland annat:

• informera kunderna om hur uppgifterna används, till exempel i en integritetspolicy
• ha en rättslig grund för behandlingen, som avtal för själva bokningen och samtycke för marknadsföring
• besvara begäranden om tillgång och radering, som huvudregel inom en månad
• välja leverantörer som ger tillräckliga garantier för säkerhet

Läs mer i Klartes guide om ansvaret som personuppgiftsansvarig.

Vad är ett personuppgiftsbiträde?

Ett personuppgiftsbiträde behandlar personuppgifter för den personuppgiftsansvariges räkning (GDPR artikel 4.8). Personuppgiftsbiträdet får inte använda uppgifterna för egna ändamål. Det måste skydda uppgifterna, bara använda godkända underbiträden och hjälpa den personuppgiftsansvarige med bland annat begäranden om tillgång.

Personuppgiftsansvarig eller personuppgiftsbiträde: skillnaden kort

• Vem bestämmer? Den personuppgiftsansvarige bestämmer ändamål och medel. Personuppgiftsbiträdet följer instruktioner.
• Vem svarar kunden? Den personuppgiftsansvarige besvarar begäranden om tillgång. Personuppgiftsbiträdet hjälper till.
• Vem måste ha ett avtal? Båda. GDPR artikel 28 kräver ett personuppgiftsbiträdesavtal mellan dem.
• Exempel: Salongen är personuppgiftsansvarig. Bokningssystemet är personuppgiftsbiträde.

Samma företag kan ha båda rollerna för olika uppgifter. Klarte är till exempel personuppgiftsansvarigt för uppgifter om sina egna kontoägare, men personuppgiftsbiträde för uppgifterna om de kunder som bokar hos företagen.

Vad bör personuppgiftsbiträdesavtalet innehålla?

Avtalet ska beskriva vilka uppgifter som behandlas, för vilket ändamål, hur länge, hur de skyddas och vilka underbiträden som används. Det ska också säga vad som händer med uppgifterna när avtalet upphör. Se Klartes personuppgiftsbiträdesavtal och listan över underbiträden.

Checklista för företag som tar emot bokningar online

1. Teckna ett personuppgiftsbiträdesavtal med din bokningsleverantör.
2. Kontrollera var uppgifterna lagras. Klarte lagrar data i EU.
3. Be bara om de uppgifter du behöver för att genomföra besöket.
4. Håll samtycke till marknadsföring åtskilt från själva bokningen.
5. Ha en rutin för begäranden om registerutdrag.
6. Skriv inte hälsouppgifter eller andra känsliga uppgifter i bokningsanteckningar om du inte har rättslig grund för det.

Den här artikeln är allmän information och utgör inte juridisk rådgivning. Kontakta en jurist eller din tillsynsmyndighet för dataskydd vid konkreta frågor. Se även definitionerna i ordlistan.