Finn Rimelig Databehandleravtale i Jan Mayen - uten å ringe rundt

Databehandleravtale: Hva er det og når trenger du en-

En databehandleravtale er en skriftlig avtale mellom en virksomhet som er behandlingsansvarlig for personopplysninger og en leverandør som behandler disse opplysningene på vegne av virksomheten. Kravet om avtalen følger av personvernforordningen (GDPR) artikkel 28, som er innarbeidet i norsk rett gjennom personopplysningsloven. Avtalen skal sikre at personopplysninger behandles på en lovlig, trygg og forutsigbar måte, uavhengig av hvem som utfører selve arbeidet.

Mange virksomheter søker etter databehandleravtale fordi de ønsker å være sikre på at de oppfyller lovkravene før de tar i bruk en ny leverandør. Det er en god start, for manglende avtale er et av de vanligste avvikene som Datatilsynet påpeker ved tilsyn. Samtidig er det viktig å forstå at avtalen ikke er en formalitet som kan kopieres uten videre. Den må tilpasses den konkrete behandlingen av personopplysninger.

Når kreves en databehandleravtale-

Du trenger en databehandleravtale når en ekstern part behandler personopplysninger på dine vegne. Det kan være et regnskapsbyrå som håndterer lønnsdata, et IT-selskap som drifter kunderegisteret ditt, en markedsføringsbyrå som administrerer e-postlister, eller en skylagringstjeneste som lagrer dokumenter med personopplysninger. Også et konsulentfirma som får tilgang til systemer med persondata, kan omfattes av kravet.

Det avgjørende er hvem som bestemmer formålet med behandlingen og hvordan den skal gjennomføres. Den som bestemmer dette, er behandlingsansvarlig. Den som utfører behandlingen etter instruks fra den behandlingsansvarlige, er databehandler. Dersom leverandøren i praksis bestemmer over formål og midler selv, kan den være behandlingsansvarlig i stedet, og da gjelder andre regler. Det er derfor lurt å kartlegge rollene tidlig i prosessen.

Hva skal en databehandleravtale inneholde-

GDPR artikkel 28 stiller klare krav til innholdet i avtalen. For det første skal den beskrive formålet med behandlingen, hvilke typer personopplysninger som behandles, og hvilke kategorier registrerte det gjelder, for eksempel kunder, ansatte eller brukere. For det andre skal varigheten av behandlingen fremgå.

Videre skal avtalen fastsette at databehandleren kun behandler opplysningene etter dokumenterte instrukser fra den behandlingsansvarlige. Den skal sikre at personer som er autorisert til å behandle opplysningene, har taushetsplikt. Databehandleren skal iverksette tilstrekkelige tekniske og organisatoriske sikkerhetstiltak, og avtalen bør beskrive disse så konkret som mulig.

Avtalen må også regulere bruk av underleverandører. Databehandleren skal normalt ikke engasjere andre databehandlere uten forhåndsgodkjenning fra den behandlingsansvarlige. Dersom slike underleverandører benyttes, må de pålegges de samme forpliktelsene. I tillegg skal avtalen omtale hvordan databehandleren bistår med å oppfylle den registrertes rettigheter, som innsyn, retting og sletting, samt hvordan brudd på personopplysningssikkerheten skal varsles.

Til slutt må avtalen regulere hva som skjer når samarbeidet opphører. Normalt skal databehandleren slette eller tilbakelevere alle personopplysninger, med mindre det finnes et lovkrav om lagring. Den behandlingsansvarlige skal ha rett til å kontrollere at databehandleren overholder avtalen, for eksempel gjennom revisjon eller dokumentasjon.

Hvordan lager du en god databehandleravtale-

En god databehandleravtale starter med en grundig kartlegging av behandlingen. Spør deg selv hvilke personopplysninger som faktisk er involvert, hvorfor de behandles, hvor de lagres og hvem som har tilgang til dem. Jo bedre du kjenner til behandlingen, desto enklere blir det å beskrive den i avtalen.

Deretter bør avtalen tilpasses virksomhetens behov og risikonivå. En leverandør som håndterer helseopplysninger eller store mengder sensitive personopplysninger, bør underlegges strengere krav enn en leverandør som kun behandler enkle kontaktopplysninger. Det er også lurt å vurdere om leverandøren har sertifiseringer, dokumentert informasjonssikkerhet og rutiner for avviksbehandling.

Mange leverandører tilbyr egne standardavtaler. Disse kan være et godt utgangspunkt, men de bør alltid gjennomgås. Kontroller at avtalen faktisk dekker din behandling, og at den ikke inneholder vilkår som gir leverandøren vidtrekkende rettigheter til å bruke dataene til egne formål. Dersom leverandøren ønsker å bruke personopplysninger til egen produktutvikling eller analyse, vil den i mange tilfeller opptre som behandlingsansvarlig, noe som krever en annen vurdering.

Risikoer ved manglende eller mangelfull avtale

Å mangle en databehandleravtale kan få alvorlige konsekvenser. Datatilsynet kan gi pålegg om retting, midlertidig eller permanent forbud mot behandling, og i alvorlige tilfeller ilegge overtredelsesgebyr. Gebyrene kan utgjøre millionbeløp, avhengig av overtredelsens alvorlighet og virksomhetens størrelse. I tillegg kan manglende avtale svekke tilliten til virksomheten hos kunder, ansatte og samarbeidspartnere.

Også en avtale som eksisterer på papiret, men ikke er etterlevd i praksis, kan gi problemer. Dersom leverandøren ikke følger sikkerhetskravene eller varsler brudd for sent, er det den behandlingsansvarlige som i siste instans står ansvarlig overfor myndighetene og de registrerte. Derfor er oppfølging av avtalen like viktig som selve signeringen.

Slik finner du riktig leverandør

Når du skal velge leverandør som skal behandle personopplysninger for deg, bør du gjøre en risikovurdering før samarbeidet starter. Vurder leverandørens erfaring, referanser, sikkerhetsrutiner og evne til å etterleve GDPR. Be gjerne om dokumentasjon på hvordan de håndterer tilgangsstyring, kryptering, logging og opplæring av ansatte.

Det er også nyttig å avklare hvor opplysningene lagres og behandles. Dersom personopplysninger overføres til land utenfor EU/EØS, må det finnes et gyldig overføringsgrunnlag, for eksempel EUs standardavtaleklausuler. Dette bør fremgå av databehandleravtalen.

Slik kommer du raskt i gang

Dersom du trenger en databehandleravtale i forbindelse med et nytt oppdrag, bør du involvere personvernansvarlig eller juridisk kompetanse tidlig. Avklar rollene, beskriv behandlingen, og bruk en avtale som dekker kravene i GDPR. Sørg for at avtalen blir signert før personopplysningene overleveres, og følg opp at leverandøren etterlever den i hele samarbeidsperioden.

Ved å ha en klar og godt utformet databehandleravtale bygger du tillit, reduserer risikoen for brudd og sikrer at samarbeidet med leverandøren blir trygt og profesjonelt for alle parter.

Databehandleravtale i andre områder