Databehandleraftale - hvad skal den indeholde efter GDPR?

Når en virksomhed lader en anden virksomhed håndtere personoplysninger for sig, skal forholdet være reguleret i en databehandleraftale. Kravet står i forordningens artikel 28, stk. 3, og det gælder, uanset om leverandøren er et stort cloudfirma eller en enkeltmandsvirksomhed, der kører lønnen for tre ansatte. Aftalen er ikke en formalitet. Den er det dokument, der viser, at I ved, hvad leverandøren må gøre med oplysningerne, og hvad der sker med dem, når samarbejdet slutter.

Udgangspunktet er to roller. Den dataansvarlige er den, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler oplysningerne behandles (artikel 4, nr. 7). Databehandleren behandler oplysningerne på den dataansvarliges vegne (artikel 4, nr. 8). Databehandleraftalen er kontrakten mellem de to, og pligten ligger hos den dataansvarlige. Det er jer, der kun må bruge databehandlere, som kan stille de fornødne garantier for, at behandlingen sker sikkert og lovligt (artikel 28, stk. 1).

Aftalen skal foreligge skriftligt, men elektronisk form er nok (artikel 28, stk. 9). I praksis er en databehandleraftale derfor ofte et bilag til hovedaftalen eller en del af de vilkår, I accepterer digitalt hos en softwareleverandør. Formen er ikke det afgørende. Det afgørende er, at indholdet dækker kravene, og at I kan finde aftalen frem, hvis Datatilsynet beder om den.

Det sværeste er ofte at afgøre, om en leverandør overhovedet er databehandler. Hvad leverandøren kalder sig, eller hvad der står i overskriften på kontrakten, er ikke afgørende. Det er de faktiske forhold, der tæller, altså hvem der bestemmer, hvorfor oplysningerne behandles, og hvordan det sker i store træk. Tabellen viser de typiske udfald for leverandører, som mindre virksomheder ofte bruger. Den er et udgangspunkt og ikke en facitliste.

Rollen kan skifte undervejs. Begynder en databehandler at bestemme formålene med og hjælpemidlerne til en behandling selv, anses den for dataansvarlig for netop den behandling (artikel 28, stk. 10). Det sker typisk, når en leverandør vil bruge kundernes data til at udvikle sit eget produkt eller lave statistik til eget brug. Så rækker databehandleraftalen ikke længere, og leverandøren skal selv have et lovligt grundlag for behandlingen.

Det samme firma kan også have to roller over for jer. Et IT-firma kan være databehandler for de mails og filer, det drifter for jer, og samtidig selvstændig dataansvarlig for de oplysninger om jeres medarbejdere, det bruger til fakturering og support. Det er derfor behandlingen og ikke firmaet, I skal se på.

Artikel 28, stk. 3 stiller krav på to niveauer. Først skal aftalen beskrive selve behandlingen - hvad den handler om, hvor længe den varer, hvilken karakter og hvilket formål den har, hvilke typer personoplysninger og hvilke kategorier af personer der er omfattet, og hvilke forpligtelser og rettigheder I har som dataansvarlig. Dernæst skal aftalen fastsætte en række konkrete pligter for databehandleren. Tabellen samler dem og peger på, hvad I i praksis bør kontrollere i leverandørens udkast.

Artikel 28, stk. 3 indeholder også en advarselspligt. Mener databehandleren, at en instruks fra jer strider mod forordningen eller andre databeskyttelsesregler, skal den sige det til jer med det samme. Det er en god grund til at skrive instruksen så præcist, at leverandøren kan se, hvad I forventer.

Aftalen kan helt eller delvis bygge på standardkontraktbestemmelser, som Kommissionen eller en tilsynsmyndighed fastsætter (artikel 28, stk. 6-8). Datatilsynets standardkontraktbestemmelser er et sådant sæt. Bruger I dem, skal bilagene stadig udfyldes med jeres egen behandling, og det er bilagene, der i praksis afgør, om aftalen passer til virkeligheden.

De fleste leverandører bruger selv andre leverandører. Et lønbureau har et lønsystem i skyen, og systemet ligger hos en hostingudbyder. Hver af dem er en underdatabehandler, og artikel 28, stk. 2 bestemmer, at databehandleren ikke må bruge en anden databehandler uden jeres forudgående skriftlige godkendelse. Godkendelsen kan være specifik for hver underdatabehandler eller generel.

Ved en generel godkendelse skal databehandleren orientere jer om planlagte tilføjelser og udskiftninger og give jer mulighed for at gøre indsigelse. I praksis bør aftalen derfor indeholde en liste over de nuværende underdatabehandlere, en frist for varsling af ændringer og en beskrivelse af, hvad der sker, hvis I gør indsigelse. Kan I kun sige nej ved at opsige hele samarbejdet, er det godt at vide, før I skriver under.

Databehandleren skal give underdatabehandleren de samme databeskyttelsesforpligtelser, som den selv har over for jer, og opfylder underdatabehandleren dem ikke, er den oprindelige databehandler fuldt ansvarlig over for jer (artikel 28, stk. 4). I har altså én aftalepart at holde fast i, også når fejlen sker et led længere nede i kæden.

Ikke alle samarbejder om persondata passer ind i rollen som dataansvarlig og databehandler. Fastlægger to eller flere virksomheder i fællesskab formålene med og hjælpemidlerne til en behandling, er de fælles dataansvarlige (artikel 26, stk. 1). Det kan fx være to butikker, der holder et fælles arrangement med én tilmeldingsliste, som begge bruger til opfølgning, eller to klinikker, der driver en fælles booking. Ved fælles dataansvar er en databehandleraftale ikke det rigtige dokument, fordi ingen af parterne handler på den andens vegne.

I stedet skal parterne på en gennemsigtig måde aftale, hvem der gør hvad, især hvem der svarer på de registreredes henvendelser, og hvem der giver de oplysninger, artikel 13 og 14 kræver. Ordningen kan udpege et fælles kontaktpunkt, den skal afspejle parternes faktiske roller, og det væsentligste indhold skal gøres tilgængeligt for de registrerede (artikel 26, stk. 1-2). Uanset hvad I aftaler, kan den registrerede gøre sine rettigheder gældende over for hver af jer (artikel 26, stk. 3).

Fælles dataansvar opstår ofte uden, at nogen har tænkt over det, fordi samarbejdet starter som et praktisk projekt. Er der allerede en samarbejdsaftale mellem jer, er det oplagt at lægge ordningen ind som et bilag til den.

Opdager databehandleren et brud på persondatasikkerheden, skal den underrette jer uden unødig forsinkelse (artikel 33, stk. 2). Det er derefter jer som dataansvarlig, der vurderer, om bruddet skal anmeldes til Datatilsynet, og om de berørte skal have besked. Aftalen bør derfor angive en kontaktperson og de oplysninger, leverandøren skal sende med, så I ikke mister tid på at finde ud af, hvad der er sket. Fristerne og vurderingen af risikoen er beskrevet under GDPR.

Eksemplet viser, hvordan rollerne og kravene til aftalen spiller sammen i et helt almindeligt kundeforhold.

Da Egon senere skifter til et andet lønbureau, vælger han, at Kamma skal tilbagelevere oplysningerne og derefter slette dem, også i sine kopier, medmindre en lov kræver, at noget gemmes (artikel 28, stk. 3, litra g). Fordi valget var beskrevet i aftalen, bliver skiftet en praktisk opgave og ikke en diskussion.

Mange databehandleraftaler bliver underskrevet uden at blive læst, fordi de kommer som et bilag til en leverandøraftale. Brug listen, før I accepterer leverandørens udkast eller sender jeres eget.

• Afklar rollen. Handler leverandøren kun på jeres vegne, eller bruger den også oplysningerne til egne formål?
• Beskriv behandlingen konkret - hvilke oplysninger, om hvem, til hvad og hvor længe.
• Skriv instruksen ned, også om oplysningerne må overføres til lande uden for EU.
• Bed om en beskrivelse af sikkerhedsforanstaltningerne og vurdér, om den passer til oplysningernes art.
• Få listen over underdatabehandlere, og notér varslingsfristen for ændringer.
• Tjek, at I får hjælp til indsigtsanmodninger og ved databrud, og at der står en kontaktperson.
• Sørg for, at det er jer, der vælger mellem sletning og tilbagelevering, når samarbejdet slutter.
• Undersøg, hvordan I kan kontrollere leverandøren, fx via en revisorerklæring eller en inspektion.
• Gem den underskrevne aftale, så I kan finde den frem, når den skal bruges.

Går listen igennem uden huller, er aftalen som regel på plads. Er der punkter, leverandøren ikke vil skrive ind, er det et signal om, at rollefordelingen eller sikkerheden bør undersøges nærmere.