Gå till startsidan för vägledningen om skydd av personuppgifter
Vägledning om personuppgifter – fråga 12
Vilket ansvar har jag som personuppgiftsansvarig?
Detta gäller scenario 2, utom för användningen av kommissionens fildelningstjänst.
Som organisatörsgruppens företrädare kan du bli skyldig att kompensera undertecknare som lidit ekonomisk skada (dvs. direkta kostnader) eller ideell skada (dvs. anseende eller image) till följd av uppgiftsbehandling som strider mot GDPR.
Exempel:
- Om du (uppsåtligen eller av oaktsamhet) avslöjar att Maria Andersson, chef på ett kemiföretag, stöder initiativ för att förbjuda bekämpningsmedel som hennes arbetsgivare tillverkar: detta kan leda till ekonomisk skada om hon blir av med jobbet och ideell skada som förlorat anseende och färre jobbmöjligheter.
- Om du gör uppgifterna tillgängliga för ett annat initiativs organisatörsgrupp eller för någon organisation som sedan använder dem för politisk analys, profilering eller lobbning: detta kan leda till ideell skada.
I det här fallet är även personuppgiftsbiträdet ansvarigt för skada till följd av behandlingen om denne inte har fullgjort sina skyldigheter enligt GDPR eller har agerat utanför eller i strid med den personuppgiftsansvarigas lagenliga anvisningar.
Både du (företrädaren) och personuppgiftsbiträdet är befriade från ansvar för den skada som behandlingen orsakar, om ni kan bevisa att ni inte på något sätt är ansvariga för den händelse som orsakade skadan.
Utan att det påverkar ditt ansvar som företrädare ska medlemmarna i organisatörsgruppen vara solidariskt ansvariga för skada i samband med ett medborgarinitiativ som orsakas av olagliga handlingar som begås uppsåtligen eller genom grov oaktsamhet, i enlighet med tillämplig nationell rätt.
Om det finns en rättslig enhet som sköter initiativet ska denna enhet ta på sig ansvarsskyldigheten och rollen som personuppgiftsansvarig.
OBS:
I scenario 1 minskar ditt ansvar väsentligt eftersom det då är kommissionen som är huvudansvarig för behandlingen av undertecknarnas personuppgifter.
EU-lagstiftning:
- Artikel 5 i förordningen om det europeiska medborgarinitiativet
- Kapitel VIII i GDPR
