Databehandler

En databehandler er en enhed, der behandler personoplysninger på vegne af og efter instruktion fra en dataansvarlig. I forbindelse med politisk annoncering håndterer behandlere personoplysninger til målretning eller annonceleveringsformål, men træffer ikke beslutninger om, hvordan eller hvorfor dataene anvendes. Den dataansvarlige forbliver i sidste ende ansvarlig for lovlig behandling.

Retsgrundlag

"Ved »databehandler« forstås: en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der behandler personoplysninger på den dataansvarliges vegne."

— Artikel 4, stk. 8, forordning (EU) 2016/679 (GDPR)

Selv om forordning (EU) 2024/900 ikke definerer databehandler, henviser den til databeskyttelseslovgivningen og tildeler specifikke forpligtelser til dataansvarlige og databehandlere, når personoplysninger anvendes til målretning af politisk annoncering online.

Hvorfor det er vigtigt

Forståelsen af databehandlerens rolle er afgørende for overholdelse af både GDPR og forordningen om politisk annoncering. Når et politisk parti, en kampagne eller en sponsor anvender en online platform, en ad-tech-udbyder eller et analysebureau til at levere målrettede politiske annoncer, fungerer denne udbyder typisk som databehandler. Sponsoren eller den politiske aktør forbliver dataansvarlig og skal sikre, at databehandleren opfylder alle juridiske krav.

Databehandlere skal implementere passende tekniske og organisatoriske foranstaltninger, bistå dataansvarlige med at opfylde deres forpligtelser (såsom at besvare anmodninger fra registrerede) og kun behandle data på grundlag af dokumenterede instruktioner. De kan ikke anvende personoplysninger til deres egne formål. Hvis en databehandler selv fastlægger formålene med behandlingen, bliver vedkommende dataansvarlig og påtager sig det fulde ansvar i henhold til databeskyttelseslovgivningen.

For politisk annoncering er denne sondring vigtig, fordi målretning ved brug af personoplysninger er stærkt begrænset i henhold til kapitel III i forordning (EU) 2024/900. Dataansvarlige skal sikre, at deres databehandlere overholder begrænsninger vedrørende målretning, krav til samtykke og forbud mod brug af visse følsomme datakategorier.

Centrale punkter

Handler efter instruktion: Databehandlere håndterer personoplysninger udelukkende som anvist af den dataansvarlige; de kan ikke beslutte, hvordan eller hvorfor data behandles.
Forbliver ansvarlig: Dataansvarlige er i sidste ende ansvarlige for at sikre, at databehandlere overholder GDPR og reglerne om politisk annoncering.
Skriftlige aftaler krævet: Dataansvarlige skal have en kontrakt eller retsakt på plads med databehandlere, der specificerer behandlingsbetingelser, sikkerhedsforanstaltninger og forpligtelser.
Bistår med overholdelse: Databehandlere skal hjælpe dataansvarlige med at besvare anmodninger om registreredes rettigheder, gennemføre konsekvensanalyser og rapportere databrud.
Kan blive dataansvarlig: Hvis en databehandler fastlægger formålene og midlerne for behandling, omklassificeres vedkommende til dataansvarlig med fuldt juridisk ansvar.
Specifikke regler for målretning: Når databehandlere leverer målrettede politiske annoncer online, skal de overholde begrænsningerne i kapitel III og må ikke anvende særlige kategorier af personoplysninger til målretningsformål.

Databehandler vs. dataansvarlig

En dataansvarlig fastlægger formålene med og midlerne til behandling af personoplysninger—beslutter hvilke data der skal indsamles, hvordan de skal anvendes, og hvorfor. En databehandler handler udelukkende på den dataansvarliges instruktion og træffer ikke disse beslutninger.

I forbindelse med politisk annoncering er et politisk parti, der beslutter at køre en målrettet annoncekampagne, den dataansvarlige. Den sociale medieplatform eller ad-tech-tjeneste, der leverer disse annoncer i henhold til partiets instruktioner, er databehandleren. Hvis platformen også anvender dataene til egne formål (f.eks. forbedring af sin anbefalingsalgoritme), fungerer den som dataansvarlig for dette separate formål.

Sondringen er afgørende, fordi dataansvarlige og databehandlere har forskellige forpligtelser i henhold til GDPR, og ansvaret for manglende overholdelse ligger i sidste ende hos den dataansvarlige.

Relaterede begreber

Ja. Som en EU-forordning er TTPA direkte anvendelig i alle medlemsstater uden at kræve national implementering. Medlemsstaterne skal kun udpege myndigheder og fastlægge sanktioner.

Gennemsigtighedskrav sikrer, at alle politiske aktører opererer under de samme regler. Vælgerne kan se, hvem der har ressourcer, og hvordan de anvendes, hvilket understøtter fair konkurrence.

Gennemsigtighed skaber tillid ved at vise vælgerne, at politiske aktører opererer åbent. Skjult finansiering eller målretning undergraver tilliden til demokratiske processer.

Ved at kræve tydelig mærkning og tilgængelige gennemsigtighedsoplysninger hjælper TTPA folk med at genkende politisk annoncering og forstå, hvem der forsøger at påvirke dem.

Politisk reklame omfatter enhver betalt meddelelse, der fremmer en politisk aktør, påvirker adfærd ved stemmeafgivning, påvirker resultatet af valg eller folkeafstemninger eller påvirker lovgivningsmæssige eller reguleringsmæssige processer. Det omfatter også enhver reklame foretaget af eller på vegne af en politisk aktør.

Nej. TTPA påvirker ikke nationale regler om indholdet af politiske annoncer, kampagnefinansiering, valgperioder eller generelle forbud mod politisk annoncering. Den tilføjer gennemsigtighedskrav oven i eksisterende national lovgivning.

Det officielle navn er Europa-Parlamentets og Rådets forordning (EU) 2024/900 om gennemsigtighed og målretning af politisk annoncering. Den blev offentliggjort den 20. marts 2024.

Ja. TTPA dækker al politisk annoncering, uanset om den er online eller offline, herunder print, reklametavler, tv, radio og digitale kanaler. Målretningsreglerne i kapitel III gælder kun for onlineannoncering.