Databehandleravtale: når trengs den?

Med alle som behandler personopplysninger på deres vegne — regnskapsfører, lønnssystem, e-post, skylagring, CRM, fakturasystem, nettsideleverandør. Avtalen må blant annet fastsette behandlingens gjenstand, varighet, art og formål, hvilke opplysninger og hvem de gjelder, og at databehandleren bare behandler etter deres dokumenterte instrukser.

Databehandleravtaler er den delen av GDPR-arbeidet som er enklest å bli ferdig med, fordi leverandørene stort sett har avtalen klar. Jobben er å vite hvem de er.

Denne guiden er del av temaet personvern og GDPR for små bedrifter.

Hva sier loven?

Kravet følger av personvernforordningen, som gjelder som norsk lov gjennom personopplysningsloven § 1.

Valg av databehandler. Artikkel 28 nr. 1: skal en behandling utføres på vegne av en behandlingsansvarlig, skal den behandlingsansvarlige «bare bruke databehandlere som gir tilstrekkelige garantier for at de vil gjennomføre egnede tekniske og organisatoriske tiltak» som sikrer at behandlingen oppfyller forordningens krav og verner de registrertes rettigheter.

Underleverandører. Artikkel 28 nr. 2: databehandleren skal ikke engasjere en annen databehandler uten at det på forhånd er innhentet særlig eller generell skriftlig tillatelse fra den behandlingsansvarlige. Er tillatelsen generell, skal databehandleren underrette om planer om å benytte eller skifte ut underleverandører, «og dermed gi den behandlingsansvarlige muligheten til å motsette seg slike endringer».

Selve avtalen. Artikkel 28 nr. 3: behandlingen skal være underlagt en avtale eller et annet rettslig dokument som er bindende for databehandleren, og der følgende er fastsatt:

• gjenstanden for og varigheten av behandlingen
• behandlingens art og formål
• typen personopplysninger og kategorier av registrerte
• den behandlingsansvarliges rettigheter og plikter

Avtalen skal særlig angi at databehandleren behandler personopplysningene bare på dokumenterte instrukser fra den behandlingsansvarlige, herunder ved overføring til en tredjestat eller internasjonal organisasjon, med mindre annet kreves av retten databehandleren er underlagt — og da med underretning før behandlingen. Den skal også sikre at personer som er autorisert til å behandle opplysningene er underlagt taushetsplikt.

Sikkerhet. Artikkel 32 krever egnede tekniske og organisatoriske tiltak hos begge parter.

Hva betyr det i praksis?

Listen er lengre enn du tror. For en typisk norsk småbedrift:

• Regnskapsfører eller lønnssystem
• E-post- og kontorpakke
• Skylagring og fildeling
• CRM eller kundesystem
• Fakturasystem
• Nettsideleverandør og analyseverktøy
• Rekrutteringsverktøy
• Support- eller chatverktøy
• Eventuelle konsulenter med tilgang til produksjonsdata

Rollen avgjør ansvaret. Dere er behandlingsansvarlig — dere bestemmer formålet og midlene, og dere svarer overfor Datatilsynet og de registrerte. Leverandøren er databehandler og skal bare gjøre det dere har instruert om. Rollefordelingen er den samme som ligger til grunn for resten av GDPR-arbeidet, og den avgjør hvem som melder til Datatilsynet ved et personvernbrudd.

Det betyr at du ikke kan skyve ansvaret over på leverandøren. Velger du en tjeneste som ikke holder mål, er det ditt valg som er problemet.

Sjekk to punkter i standardavtalen. Hvilke underleverandører brukes, og overføres data ut av EØS? Overføring ut av EØS krever et eget overføringsgrunnlag. De fleste store leverandørene har dette på plass, men du bør se at det står der.

Gråsonen er konsulenter og frilansere. Får de tilgang til kundedata for å utføre en jobb for dere, er de databehandlere og trenger avtale. Bestemmer de selv hva opplysningene brukes til, er de behandlingsansvarlige på egen hånd, og da er det en utlevering fra dere som trenger sitt eget grunnlag.

Et eksempel

En bedrift med sju ansatte lister opp leverandørene sine og finner elleve som ser personopplysninger. Ni har standard databehandleravtale tilgjengelig på nett og aksepteres digitalt samme dag.

De to siste er en lokal IT-konsulent som har administratortilgang til serveren, og et lite bransjespesifikt fagsystem uten avtale på nettsidene.

Konsulenten signerer en enkel avtale på én side. Fagsystemleverandøren svarer at «vi følger GDPR» men har ingen avtale. Det er ikke godt nok — artikkel 28 nr. 3 krever et bindende dokument med et bestemt innhold.

Bedriften sender da sin egen avtale til signering. Nekter leverandøren, er det et reelt signal om leverandørens modenhet, og et argument for å bytte.

Sjekklisten for en databehandleravtale

Åtte punkter. De fleste standardavtaler dekker dem — les gjennom for å bekrefte at din gjør det.

1. Hva behandlingen gjelder. Gjenstand, varighet, art og formål, typen opplysninger og hvilke kategorier av personer de gjelder. Er dette bare generelle formuleringer, vet ingen hva avtalen faktisk dekker.

2. Instruksbundethet. At databehandleren bare behandler etter deres dokumenterte instrukser.

3. Taushetsplikt for de hos leverandøren som har tilgang.

4. Sikkerhetstiltak etter artikkel 32, gjerne med en konkret beskrivelse eller et vedlegg.

5. Underleverandører. Hvilke som brukes i dag, hvordan dere varsles om endringer, og hvordan dere kan motsette dere dem.

6. Bistand ved rettighetskrav og brudd. At leverandøren hjelper dere med å svare på innsyns- og slettekrav innen fristen, og varsler dere uten ugrunnet opphold ved brudd — dere har bare 72 timer å varsle Datatilsynet på, og de begynner å løpe når dere får kjennskap til bruddet.

7. Sletting eller tilbakelevering ved avtaleslutt. Hva skjer med dataene, i hvilket format får dere dem, og innen når slettes kopiene?

8. Revisjon. Rett til å be om dokumentasjon på at pliktene overholdes — i praksis en revisjonsrapport eller sertifisering, ikke et fysisk besøk.

Punkt fem, seks og sju er de som betyr mest i praksis. De tre første er standardtekst i enhver seriøs avtale.

Vanlige feil

• Å ikke vite hvem leverandørene er. Kartleggingen er selve jobben.
• Å nøye seg med «vi følger GDPR». Det er ikke en avtale.
• Å ikke sjekke underleverandørene eller retten til å motsette seg endringer.
• Å overse overføring ut av EØS.
• Å glemme konsulenter og frilansere med tilgang til systemene.
• Å tro at avtalen flytter ansvaret. Den fordeler pliktene; ansvaret overfor de registrerte blir hos dere.
• Å ikke oppdatere listen når dere bytter verktøy.

Når bør du kontakte advokat?

Ingen egen frist gjelder for selve avtalen, men den er en forutsetning for at behandlingen er lovlig — og manglende avtaler er blant de vanligste funnene ved tilsyn.

Ta kontakt med advokat når:

• Leverandøren nekter å inngå databehandleravtale, eller vil ha vilkår som gir dem videre bruksrett til dataene.
• Data skal overføres ut av EØS uten et opplagt overføringsgrunnlag.
• Dere er felles behandlingsansvarlige med en annen virksomhet, der artikkel 26 gjelder i stedet.
• Leverandøren har hatt et sikkerhetsbrudd.
• Dere selv er databehandler for kundene deres og skal utforme avtalen.

Du finner advokater med personvern som fagfelt i oversikten vår.