Deiling persónuupplýsinga með þriðja aðila: 7 áhættur GDPR sem þarf að stjórna

Þú mátt aðeins deila persónuupplýsingum samkvæmt GDPR ef þú hefur lagalegan grundvöll samkvæmt 6. grein, hefur gert skriflega samkomulag um hvort viðtakandinn sé vinnsluaðili eða ábyrgðaraðili og hefur tilkynnt viðkomandi aðilum um miðlunina. Helstu undantekningarnar eru flutningar utan Evrópska efnahagssvæðisins (EES) og áhættusöm vinnsla, sem hefur í för með sér viðbótar kröfur samkvæmt V. kafla og 35. grein GDPR.

Í Hollandi framfylgir Persónuverndarstofnun Hollands ( Autoriteit Persoonsgegevens , AP) GDPR ásamt hollensku framkvæmdarlögunum ( Uitvoeringswet AVG , UAVG). Sérhver vinnsla til skýjaþjónustuaðila, launaskrifstofu, innheimtufyrirtækis eða samstæðufélags erlendis er aðskilin vinnsla sem þarfnast eigin réttlætingar. Hér að neðan lýsum við sjö áhættuþáttum sem endurtaka sig í reynd, ákvæðunum sem liggja að baki þeim og hvað þú getur gert í hverju tilviki.

Áhætta 1: ertu að deila gögnum án gilds lagalegs grundvallar?

Sérhver miðlun persónuupplýsinga þarfnast einnar af sex lagastoðum í 6. gr. (1) GDPR. Viðskiptaleg ástæða er ekki ein af þeim.

Sex grundvallaratriði eru tæmandi: samþykki, framkvæmd samnings, lagaleg skylda, brýnir hagsmunir, opinbert verkefni og lögmætir hagsmunir. Í 5. gr. (1) (a) er bætt við að vinnsla verði að vera lögmæt, sanngjörn og gagnsæ, þannig að grundvallaratriði sem aldrei hafa verið útskýrð fyrir neinum skilja samt eftir skarð.

Hvers vegna eru lögmætir hagsmunir gildra?

Lögmætir hagsmunir eru sá grundvöllur sem oftast er notaður til að deila upplýsingum með samstarfsaðilum, og oftast er hann notaður á rangan hátt. Það krefst þriggja þrepa prófunar:

• hagsmunirnir verða að vera lögmætir;
• miðlunin verður að vera nauðsynleg til að þjóna því;
• Hagsmunir mega ekki ganga þyngra en réttindi og frelsi viðkomandi fólks.

Þú verður að framkvæma og skrá þetta próf áður en miðlunin hefst, því 5. gr. (2) GDPR leggur sönnunarbyrðina á ábyrgðaraðila (ábyrgð). Mat sem er skrifað eftir að kvörtun berst er mjög lítils virði.

Hvað með samþykki og tilgangstakmarkanir?

Samþykki starfsmanna er sjaldan gilt, því ójafnvægi í valdi þýðir að það er ekki gefið af fúsum og frjálsum vilja (7. gr. (4) og 43. formáli GDPR). Tilgangstakmarkanir samkvæmt 5. gr. (1)(b) eiga einnig við um miðlun: gögn sem safnað er til að veita þjónustu geta ekki einfaldlega farið til samstarfsaðila í markaðssetningu. Þar sem nýi tilgangurinn er ekki samhæfur þeim upprunalega þarf nýjan grunn.

Hvað skal gera: greinið ástæðuna áður en gögn fara frá fyrirtækinu ykkar, skrifið það niður og gangið úr skugga um að persónuverndaryfirlýsing ykkar lýsi þegar miðluninni. Samþykki verður að vera gefið af fúsum og frjálsum vilja, sértækt, upplýst, ótvírætt og eins auðvelt að afturkalla og það verður að veita (4. gr. (11) og 7. gr. (3) GDPR).

Áhætta 2: hefur þú rangt skilið hlutverk stjórnanda og örgjörva?

Ábyrgðaraðili ákveður tilgang og aðferðir við vinnslu persónuupplýsinga; vinnsluaðili starfar aðeins samkvæmt skjalfestum fyrirmælum ábyrgðaraðila (4. gr. (7) og (8) í GDPR). Það sem skiptir máli er hver ákveður í raun, ekki hvað samningurinn kallar aðilana.

Algeng mistök eru að stimpla alla birgja sem vinnsluaðila. Samt sem áður starfar ekkert af eftirfarandi eingöngu eftir fyrirmælum:

• SaaS-veitandi sem notar viðskiptavinagögn til að bæta sína eigin vöru;
• endurskoðandi sem er bundinn af faglegum reglum;
• banki sem framkvæmir greiðslu;
• auglýsingavettvangur sem býr til sína eigin áhorfendasnið.

Hvor um sig um sig er ábyrgðaraðili að minnsta kosti hluta af vinnslunni. Þegar tvær stofnanir ákveða sameiginlega tilgang og aðferðir eru þær sameiginlegir ábyrgðaraðilar samkvæmt 26. gr. GDPR. Þær verða að setja fram ábyrgð sína í samkomulagi og gera kjarna þess aðgengilegan hlutaðeigandi einstaklingum.

Hversu víðtækt skilgreinir Evrópudómstóllinn sameiginlega stjórn?

Í stórum dráttum. Í málinu Fashion ID (C-40/17) komst Hæstiréttur að þeirri niðurstöðu að vefsíðurekandi sem innbyggði viðbót fyrir samfélagsmiðla frá þriðja aðila væri sameiginlegur ábyrgðaraðili fyrir söfnun og miðlun gagna gesta, jafnvel þótt hann hefði ekki aðgang að gögnunum eftir á. Hlutlæg áhrif á tilganginn nægja og niðurstaðan er sameiginleg ábyrgð á broti sem þú ollir ekki.

Hvað skal gera: kortleggja gagnaflæði og skrá, fyrir hvert flæði, hver ákveður hvers vegna og hvernig gögnin eru unnin. Nota vinnslusamning samkvæmt 28. gr. fyrir vinnsluaðila og sameiginlegan ábyrgðaraðila samkvæmt 26. gr. þar sem báðir aðilar ákveða.

Áhætta 3: er gagnavinnslusamningur þinn vantar eða gallaður?

Ef vinnsluaðili vinnur með persónuupplýsingar fyrir þína hönd, þá krefst 28. gr. (3) GDPR skriflegs samnings. Án hans ert þú brotlegur frá þeirri stundu sem vinnsla hefst, jafnvel þótt engin gögn leki nokkurn tímann.

Innihaldið er kveðið á um í lögum. Í vinnslusamningi, sem uppfyllir kröfur gagnaverndar, er kveðið á um efni, tímalengd, eðli og tilgang vinnslunnar, tegundir persónuupplýsinga og flokka einstaklinga, og réttindi og skyldur ábyrgðaraðila. Samningurinn verður einnig að binda vinnsluaðila til að:

• vinna aðeins samkvæmt skjalfestum leiðbeiningum;
• leggja trúnað á starfsfólk sitt;
• gera þær öryggisráðstafanir sem krafist er samkvæmt 32. gr.;
• aðstoð við beiðnir skráðra einstaklinga og tilkynningar um brot á persónuupplýsingum;
• eyða eða skila gögnunum að verkinu loknu;
• veita þær upplýsingar sem þarf til að sýna fram á að farið sé að kröfum og leyfa endurskoðanir.

Hvers vegna bregðast ákvæði um undirvinnsluaðila svona oft?

Samkvæmt 28. gr. (2) og (4) þarf vinnsluaðilinn að hafa fengið fyrirfram sérstakt eða almennt skriflegt leyfi frá þér fyrir alla undirvinnsluaðila. Með almennu leyfi verður hann að upplýsa þig um fyrirhugaðar breytingar og gefa þér tækifæri til að andmæla; ákvæði sem heimilar honum að ráða hvern sem hann vill uppfyllir ekki þann staðal.

Hvað skal gera: vinna út frá sniðmáti sem fylgir ákvæði 28(3) í greininni fyrir ákvæði og fara yfir gildandi samninga frekar en að reiða sig á skilmála birgis sjálfs. Langtímasambönd eru líklegast óskráð.

Áhætta 4: Eruð þið að flytja gögn út fyrir EES án öryggisráðstafana?

Flutningur utan EES er aðeins leyfður á grundvelli ákvörðunar um fullnægjandi gögn (45. gr. GDPR) eða viðeigandi verndarráðstafana (46. gr.), oftast staðlaðra samningsákvæða framkvæmdastjórnarinnar eða bindandi fyrirtækjareglna. Undanþágurnar í 49. gr., svo sem skýrt samþykki, eiga við um einstaka flutninga og geta ekki stutt við skipulagt gagnaflæði.

Flutningur á sér stað í hvert sinn sem gögn verða aðgengileg utan EES, ekki aðeins þegar þau eru afrituð þangað. Fjarstýring móðurfélags erlendis telst flutningur, jafnvel þótt netþjónarnir séu áfram í Frankfurt.

Hvaða þýðingu hafa Schrems II og persónuverndarramminn fyrir þig?

Í Schrems II (C-311/18) ógilti dómstóllinn friðhelgissamning ESB og Bandaríkjanna og komst að þeirri niðurstöðu að staðlaðar samningsákvæði væru ekki næg ein og sér. Útflytjandinn verður að meta hvort lög áfangastaðarlandsins grafi undan ákvæðunum og bæta við viðbótarráðstöfunum ef svo er; að mat á áhrifum flutnings sé enn krafist fyrir hverja flutning samkvæmt 46. grein.

Í júlí 2023 samþykkti framkvæmdastjórnin ákvörðun um fullnægjandi gögn fyrir persónuverndarramma ESB og Bandaríkjanna (DPF) og þann 3. september 2025 vísaði héraðsdómstóllinn frá máli um ógildingu þess ( Latombe , T-553/23). Gögn sem vottunin nær yfir til bandarískrar stofnunar sem hefur fengið vottun samkvæmt rammanum geta reitt sig á fullnægjandi gögn en ekki millifærslur til annarra bandarískra viðtakenda. Hægt er að áfrýja til dómstólsins, svo athugið vottunina og hafið varaúrræði tiltækt.

Hvað skal gera: Teljið upp millifærslur frá þriðju löndum í framboðskeðjunni ykkar, þar á meðal undirvinnsluaðila og stuðningsfyrirkomulag. Þar sem fullnægjandi kröfur eiga ekki við skal nota gildandi SCC-skilmála, skrá yfirlýsingu um öryggi og skrá viðbótarráðstafanir eins og dulkóðun með lyklum sem geymdir eru innan EES. Aðstoðarskrifstofan getur fyrirskipað að millifærslu verði frestað samkvæmt 58. gr. (2)(j) GDPR.

Áhætta 5: Eruð þið að sleppa áhrifamati á persónuvernd?

35. grein GDPR krefst mats á áhrifum persónuverndar (DPIA) þegar vinnsla er líkleg til að leiða til mikillar áhættu fyrir einstaklinga. Miðlun gagna fer oft yfir þann þröskuld fyrr en stofnanir búast við.

Í 35. grein (3) eru þrjú tilvik nefnd: kerfisbundið og umfangsmikið sjálfvirkt mat með lagalegum eða svipuðum verulegum áhrifum, stórfelld vinnsla sérstakra flokka eða sakamálagagna og stórfelld kerfisbundin vöktun á almannafæri. AP birtir einnig lista yfir aðgerðir þar sem alltaf er krafist DPIA. Sameining gagnasöfna, miðlun heilsufarsgagna með greiningaraðila eða eftirlit með starfsmönnum mun oft fara yfir þröskuldinn eitt og sér.

Hvað þarf DPIA að innihalda?

Samkvæmt 35. gr. (7) lýsir mat á persónuvernd vinnslunni og tilgangi hennar, metur nauðsyn og meðalhóf, greinir áhættu fyrir viðkomandi einstaklinga og setur fram ráðstafanir til að bregðast við henni. Þegar mikil áhætta er enn til staðar krefst 36. gr. fyrirfram samráðs við persónuverndarfulltrúa áður en vinnslan hefst.

Hvað skal gera: Farið yfir öll ný gagnamiðlunarsamninga með hliðsjón af 35. gr. (3) og listanum yfir persónuverndaraðila og látið persónuverndarfulltrúa ykkar vita ef þið hafið slíkan. Endurskoðið DPIA þegar vinnslan breytist; að framkvæma ekki nauðsynlega DPIA er brot í sjálfu sér.

Áhætta 6: Ertu að segja fólki of lítið frá deilingunni?

Gagnsæi er sérstök skylda sem þú getur brotið gegn jafnvel þótt miðlunin sjálf sé lögmæt. Samkvæmt 13. og 14. grein GDPR þarftu að tilgreina tilgang, lagalegan grundvöll og viðtakendur eða flokka viðtakenda.

Setning sem segir að gögn „heimili að vera deilt með traustum samstarfsaðilum“ gefur ekkert til kynna. Nefnið flokkana nákvæmlega, svo sem vefþjónustuaðila, launastjóra eða lánshæfismatsfyrirtæki. Fyrir millifærslur utan EES krefjast 13. gr. (1)(f) og 14. gr. (1)(f) þess að tilkynningin taki fram það og tilgreini hvaða verndarráðstafanir eru notaðar.

Hvaða viðbótaráhrif eiga við ef þú safnaðir ekki gögnunum sjálfur?

Samkvæmt 14. grein skal tilkynningin einnig tilgreina flokka gagna og uppruna þeirra. Þú verður að láta þau í té innan hæfilegs tíma og í síðasta lagi innan eins mánaðar, eða við fyrstu samskipti við viðkomandi ef það gerist fyrr. Á síðu okkar um persónuverndarstefnu í Hollandi er að finna allt efnið.

Hvað skal gera: uppfæra tilkynninguna áður en nýr viðtakandi fær gögn, ekki við næstu árlegu endurskoðun. Samkvæmt 12. gr. (1) skulu tilkynningar vera hnitmiðaðar, skiljanlegar og á skýru og einföldu máli.

Áhætta 7: eruð þið að meðhöndla dulnefni sem nafnlaus gögn?

Fyrir stofnunina sem hefur lykilinn eru dulnefnisgögn enn persónuupplýsingar. Aðeins sönn nafnleynd færir gögn út fyrir GDPR.

Í 4. gr. (5) GDPR er dulnefni skilgreint sem vinnsla gagna þannig að ekki sé lengur hægt að tengja þau við einstakling án þess að frekari upplýsingar séu geymdar sérstaklega. 26. forsenda staðfestir að slík gögn séu áfram innan GDPR fyrir alla sem geta endurgreint þau. Að skipta út nöfnum fyrir viðskiptavinanúmer útilokar því ekki þörfina fyrir lagalegan grundvöll, vinnslusamning eða persónuverndaryfirlýsingu af þinni hálfu.

Geta dulnefnir upplýsingar verið ópersónulegar fyrir viðtakandann?

Hugsanlega. Í málinu EDPS gegn SRB (C-413/23 P, 4. september 2025) komst dómstóllinn að þeirri niðurstöðu að dulnefnir gögn þyrftu ekki að vera persónuupplýsingar fyrir viðtakanda sem getur ekki með sanngjörnum hætti endurgreint viðkomandi einstaklinga. Dómstóllinn komst einnig að þeirri niðurstöðu að ábyrgðaraðili sem gefur upplýsingarnar upp verði samt sem áður að upplýsa þessa einstaklinga um viðtakandann þegar þeim er safnað.

Hvað skal gera: metið hvaða leiðir eru líklegri til að vera notaðar af viðtakanda, þar á meðal önnur gagnasöfn sem hann geymir; póstnúmer, fæðingardagur og færslusaga gera oft kleift að endurgreina. Skráið hvernig lykillinn er geymdur aðskildur. 32. grein nefndi dulnefni sem öryggisráðstöfun, sem skiptir máli fyrir ykkur ef brot er metið.

Hvernig lítur löggæslan út í Hollandi?

Samkvæmt 58. grein GDPR getur AP varað við, áminnt, fyrirskipað að farið sé að reglum, bannað vinnslu og frestað millifærslum, og 83. grein heimilar sektir. Fyrir fyrirtæki sem eru háð tilteknum gagnaflæði er bann oft skaðlegra en sektin.

83. greinin hefur tvö stig, hvort um sig með föstu hámarki eða ákveðnu hlutfalli af árlegri veltu um allan heim á fyrra fjárhagsári, hvort sem er hærra:

• Neðri þrep: allt að 10 milljónum evra eða 2%, til dæmis vegna vantar vinnslusamnings eða DPIA (25. til 39. gr.).
• Hærra stig: allt að 20 milljónum evra eða 4%, fyrir brot á meginreglunum, lagalegum grunni, réttindum skráðra aðila og reglum um flutning gagna.

82. grein GDPR veitir hverjum þeim sem verður fyrir efnislegu eða óefnislegu tjóni rétt til bóta frá ábyrgðaraðila eða vinnsluaðila. Í Hollandi höfða stofnanir í auknum mæli slíkar kröfur sameiginlega samkvæmt lögum um uppgjör fjöldatjóns í sameiginlegum málum ( Wet afwikkeling massaschade in collectieve actie , WAMCA, 3:305a grein BW).

Ef ólögleg miðlun leiðir til gagnaleka, þá krefst 33. grein þess að tilkynnt sé til gagnaleka til gagnaslyss án ótilhlýðilegrar tafar og, ef mögulegt er, innan 72 klukkustunda, nema ólíklegt sé að brotið leiði til áhættu. Samkvæmt 34. grein verður þú einnig að upplýsa þá sem verða fyrir áhrifum ef áhættan fyrir þá er mikil. Skráðu öll brot innbyrðis, þar á meðal þá sem þú tilkynnir ekki.

Hvað ættir þú, sem stofnunin sem deilir gögnunum, að athuga?

Sem ábyrgðaraðili berð þú aðalábyrgðina og verður að geta sannað að þú hafir farið að ákvæðum 5. gr. (2) GDPR. Athugaðu þessi atriði áður en gögn fara frá fyrirtækinu þínu:

• Lagalegur grundvöllur samkvæmt 6. gr. er tilgreindur og, hvað varðar lögmæta hagsmuni, er veg- og metunarpróf til skjala.
• Hlutverk viðtakandans er skráð í skrá þína yfir vinnslustarfsemi samkvæmt 30. gr.
• Vinnslusamningur samkvæmt 28. gr. eða fyrirkomulag samkvæmt 26. gr. er undirritað.
• Allur flutningur utan EES byggir á fullnægjandi kröfum eða SCC-samningum ásamt TIA.
• DPIA-skimun hefur verið gerð og skjalfest.
• Persónuverndaryfirlýsing þín nefnir viðtakandann eða flokk hans.

Hvað ættir þú að athuga sem móttakandi gagnanna?

Sem vinnsluaðili eða móttökuábyrgðaraðili hefur þú þínar eigin skyldur og getur átt yfir höfði þér sekt samkvæmt 83. gr. GDPR. Athugaðu þessi atriði áður en þú samþykkir gögnin:

• Hvort þú starfar eingöngu samkvæmt fyrirmælum (vinnsluaðili) eða notar gögnin einnig í eigin þágu (ábyrgðaraðili).
• Hvort leiðbeiningarnar í vinnslusamningnum samræmist því sem þú gerir í raun við gögnin.
• Hvort undirvinnsluaðilar þínir hafi skriflegt leyfi samkvæmt 28. gr. (2).
• Hvort öryggisráðstafanir þínar uppfylla ákvæði 32. gr. og hvort þú getir tilkynnt ábyrgðaraðila um brot án ótilhlýðilegrar tafar (2. gr. 33).
• Hvort þú haldir þína eigin skrá yfir vinnslu samkvæmt 30. gr. (2).

Hvað getum við gert fyrir þig varðandi gagnadeilingu samkvæmt GDPR?

Teymi okkar sem sérhæfir sig í upplýsingatækni sér um gagnavernd í samningum við birgja, hópa og samstarfsaðila. Nánar tiltekið:

• Við kortleggjum gagnaflæði ykkar og ákvörðum fyrir hvern viðtakanda hvort hann er vinnsluaðili, sameiginlegur ábyrgðaraðili eða sjálfstæður ábyrgðaraðili.
• Við gerum drög að eða endurskoðum vinnslusamninga samkvæmt 28. gr. og sameiginlega ábyrgðaraðilasamninga samkvæmt 26. gr.
• Við metum flutninga utan EES, athugum DPF-vottanir og gerum mat á áhrifum flutninga.
• Við framkvæmum eða endurskoðum DPIA-skimunina og DPIA sjálfa.
• Við uppfærum persónuverndaryfirlýsingu þína svo að viðtakendur og millifærslur séu rétt nefndar.
• Við aðstoðum þig við rannsókn á AP eða við tilkynningu um brot innan 72 klukkustunda frests.

Yfirlit

• Öll miðlun persónuupplýsinga þarfnast lagalegs grundvallar samkvæmt 6. grein GDPR; viðskiptaleg ástæða er ekki nægjanleg.
• Ákvarðið fyrir hvern viðtakanda hvort hann er vinnsluaðili, sameiginlegur ábyrgðaraðili eða sjálfstæður ábyrgðaraðili og skjalfestið það.
• Vinnslusamningur samkvæmt 28. grein er skylda fyrir vinnsluaðila; án slíks ertu brotlegur frá fyrsta degi.
• Flutningar utan EES þurfa fullnægjandi ráðstafanir (eins og DPF-vottun) eða öryggisráðstafanir ásamt mati á áhrifum flutnings.
• Gögn sem eru undir dulnefni eru persónuupplýsingar fyrir þann sem hefur lykilinn og persónuverndaryfirlýsing þín verður að nefna viðtakendurna nákvæmlega.

Algengar spurningar