Omkring 80 medarbejdere i en butikskæde havde behov for at dokumentere deres arbejdstid efter konkurs. Tidsregistreringerne fandtes i et eksternt system, og var afgørende for, at konkursboet kunne udbetale rigtig løn. Medarbejderne og konkursboet bad derfor om indsigt i oplysningerne.
Udbyderen af systemet afviste anmodningerne. Begrundelsen var, at udbyderen, som databehandler, ikke var i en position til at besvare anmodningerne. Samtidig henviste udbyderen til, at der ikke længere fandtes en dataansvarlig som følge af konkursen.
Det norske datatilsyn konkluderede, at udbyderen reelt var dataansvarlig og derfor havde pligt til at besvare anmodningerne. Systemet var indrettet sådan, at udbyderen fortsatte behandling af oplysningerne trods konkursen. Samtidig havde udbyderen truffet en række essentielle beslutninger om oplysningerne. Det vedrørte blandt andet behandlingsformål, adgangsrettigheder og opbevaringsperioder. Udbyderen modtog herefter en bøde på 250.000 norske kr.
iuno mener
Med afgørelsen understreger det norske datatilsyn, at der altid skal findes en dataansvarlig. Det betyder, at der ikke må kunne opstå en situation, hvor der er en databehandler, uden at der også er en dataansvarlig. Samtidig kan det være svært at gennemskue, hvordan den problemstilling bedst håndteres ved konkurs.
iuno anbefaler, at virksomheder tager højde for alle potentielle scenarier, når de indgår i en databehandleraftale. Det omfatter også ansvarsfordelingen i tilfælde af konkurs. Her skal fokus ikke kun være på den dataansvarliges konkurs. I skal også tage stilling til, hvad der sker med oplysningerne i tilfælde af databehandlerens konkurs – skal de slettes eller tilbageleveres?
[Det norske datatilsyns afgørelse i sag nr. 20/02911-20 af den 16. januar 2026]