Når det gjelder behandling av personopplysninger, blir UiA behandlingsansvarlig når de, enten alene eller i samarbeid med andre, tar beslutninger om:
- Hvilke midler, inkludert elektroniske verktøy, som skal brukes til å behandle personopplysningene
- Hva som er formålet eller hensikten med behandlingen av personopplysningene
Dette betyr for eksempel at hvis UiA beslutter å implementere en nettbasert tjeneste der studenter, ansatte og gjesteforskere kan lagre og dele elektroniske dokumenter, vil UiA være ansvarlig for behandlingen av personopplysningene (dokumentene).
UiAs behandlingsansvar omfatter all behandling av vanlige personopplysninger, sensitive personopplysninger og avidentifiserte/pseudonymiserte personopplysninger. Behandling av anonymiserte opplysninger faller utenfor behandlingsansvaret.
Dette ansvaret inkluderer behandling av personopplysninger ved hjelp av UiAs egne elektroniske systemer og tjenester. Dette omfatter også behandling av personopplysninger i forbindelse med implementering og drift av elektroniske kontrolltiltak, for eksempel kameraovervåking eller systemer for elektronisk adgangskontroll til bygninger og rom.
Behandlingsansvaret gjelder også for personopplysninger som behandles av eksterne databehandlere i samarbeid med UiA.
Til slutt inkluderer behandlingsansvaret også personopplysninger som er en del av manuelle personregistre. Dette refererer til papirbaserte registre som er organisert på en måte som gjør det enkelt å finne vurderinger eller opplysninger om spesifikke enkeltpersoner, for eksempel ansatte eller studenter.