För vilken behandling av personuppgifter som genomförs av en anställd ansvarar arbetsgivaren enligt reglerna i dataskyddsförordningen? Frågan är intressant framförallt när anställda går utanför de regler och ramar som arbetsgivaren har satt upp. Integritetsskyddsmyndigheten har i några beslut rörande exempelvis Tullverket, Region Skåne och H&M berört saken, men några avgöranden från högre instans finns dock inte. Johan Sundberg och Johan Thörn redogör för några av tillsynsbesluten och sin syn på dessa frågor.