Datadeling etter GDPR: hva er lov, og hva må du avtale?

Hva datadeling etter GDPR egentlig er

Deling av personopplysninger er behandling på linje med innsamling og lagring. Når du sender en kundeliste til en markedsføringspartner, gir regnskapsføreren tilgang til bilag eller lar et analyseverktøy lese besøksstatistikken, har du delt opplysninger, og du må kunne vise hvilket grunnlag delingen hviler på. På engelsk omtales dette ofte som data sharing, men reglene er de samme. En samlet oversikt over regler for nettsider og netthandel er et greit sted å starte for å se helheten.

Det første du bør avklare, er rollen til hver part. Er mottakeren en databehandler som gjør en jobb for deg og bare etter din instruks, eller er den en selvstendig behandlingsansvarlig som bruker opplysningene til egne formål? Svaret avgjør hva slags avtale du trenger, og hvem som svarer overfor den registrerte. Behandlingsansvarlig og databehandler etter GDPR: hvem er hvem? går gjennom skillet med konkrete eksempler.

Ansvaret ditt forsvinner ikke når opplysningene forlater systemet ditt. Du må fortsatt ha egnede tekniske og organisatoriske tiltak, også når dataene ligger hos en annen. Datatilsynet regner for eksempel feilsending av personopplysninger som et mulig brudd på personopplysningssikkerheten, så mottakerkontroll og riktig adressering er en del av etterlevelsen, ikke bare en IT-oppgave.

Grunnlaget avgjør om delingen er lovlig

GDPR artikkel 6 lister opp grunnlagene for å behandle personopplysninger, og en deling må hvile på ett av dem. I praksis er det fire du oftest kommer bort i: avtale, rettslig plikt, samtykke og berettiget interesse. Hvilket du velger, styrer hva du og mottakeren kan gjøre med opplysningene senere.

Er delingen nødvendig for å oppfylle en avtale med kunden, står du sterkt, men bare så langt delingen faktisk er nødvendig for å levere. Bygger du på berettiget interesse, må du kunne forklare hvilken interesse det er snakk om, og hvorfor den veier tyngre enn den registrertes rettigheter. Samtykke er også gyldig, men det kan trekkes tilbake, og da må delingen stanse.

Det viktige skillet går mellom å dele for å utføre en oppgave og å dele for et nytt formål, som markedsføring eller produktutvikling. Et nytt formål krever ofte et eget grunnlag, og det er verdt å avklare om behandlingen også kan være lovlig etter et annet grunnlag enn det du først valgte. Er opplysningene sensitive, gjelder strengere regler, og du bør lese Sensitive personopplysninger etter GDPR før du deler noe som helst.

Deling med leverandører: avtale, instruks og kontroll

Når en leverandør behandler personopplysninger på dine vegne, må du ha en databehandleravtale. Den skal beskrive hva leverandøren kan gjøre med opplysningene, at de bare følger din instruks, hvilke underleverandører som er involvert, og hvordan sikkerheten ivaretas.

To fallgruver går igjen. Den ene er at avtalen finnes, men ikke stemmer med det systemet faktisk gjør, for eksempel at verktøyet bruker kundedata til egne formål eller sender dem videre. Den andre er at tilganger blir liggende etter at samarbeidet er avsluttet. Gå gjennom integrasjoner og brukerkontoer med jevne mellomrom, og fjern det som ikke lenger brukes. Hvis systemet også tar automatiserte beslutninger, må vilkårene for det avklares separat.

Hvis nettsiden din sender opplysninger til analyse, chat eller booking, er også det datadeling. Da må informasjonskapsler og samtykke være ryddig satt opp, og du bør vite hvilke tredjeparter som faktisk lastes. Mange nettbutikker oppdager først her at de deler mer enn de trodde, for eksempel gjennom sporingspiksler i kassen. En nettside med ryddig oppsett gjør det lettere å holde oversikten over hva som sendes hvor.

Deling mellom virksomheter og avtalene som styrer den

Når to selvstendige virksomheter deler data, er ikke databehandleravtalen riktig verktøy. Da trenger du en avtale som beskriver formål, omfang, varighet og ansvar, og som gjør det tydelig at hver part er ansvarlig for sin egen behandling. Forretningsavtalen og personverndelen bør henge sammen, ellers oppstår det hull ingen av partene eier.

For deling som følger av nyere EU-regelverk, stilles det også krav til vilkårene. Dataforordningen legger blant annet rammer for virksomheter som er forpliktet til å dele data, og krever at avtalevilkår om datadeling skal være rettferdige, rimelige og ikke-diskriminerende. Dataforvaltningsloven er gjennomført i norsk lov og pålegger medlemslandene å etablere kompetente myndigheter som skal følge opp regelverket.

Er formålet utforskende og forretningsmodellen i begge ender uklar, anbefaler Regjeringen en tidsavgrenset avtale, for eksempel for ett år av gangen, slik at partene kan oppdatere innholdet etter hvert som de får erfaring. Sjekk også om delingen berøres av eksportkontroll eller sanksjoner mot bestemte land, særlig når den henger sammen med levering av utstyr eller tjenester.

Overføring ut av EØS krever mer enn en signatur

Personopplysninger om EØS-borgere kan som hovedregel bare deles med aktører i land som anses å ha et like sterkt personvern som EU. Overføring til andre land krever et eget grunnlag og en reell vurdering av vernenivået hos mottakeren.

Vær konkret i vurderingen: hvor lagres dataene, hvem har tilgang, hvilke underleverandører er involvert, og hva skjer hvis myndighetene i landet ber om innsyn? Skriv konklusjonen ned slik at den kan vises frem senere, og slik at du kan svare kunder som spør hvor dataene deres havner. Uten denne dokumentasjonen blir påstanden om lovlig overføring lett en antakelse.

Dokumentasjon, lagringstid og sletting

Behandlingsprotokollen skal vise hvilke delinger du gjør, med hvem og hvorfor. For hver mottaker bør du kunne svare på tre spørsmål: hvilke opplysninger deles, hvilket grunnlag gjelder, og hvor lenge mottakeren kan beholde dem.

Lagringstid er ofte glemt nettopp i delingen. Når du deler med en partner, må sletting avtales like konkret som selve delingen, og du bør kunne få bekreftet at dataene faktisk er slettet når samarbeidet avsluttes. Lagringstid etter GDPR: hvor lenge kan du lagre data? gir deg prinsippene du skal legge til grunn.

Avklar også hvem som eier oppgaven internt. I noen virksomheter er det verdt å ta stilling til om dere har plikt til å ha personvernombud, og hvem som i så fall følger opp delingen i praksis. Personvernombud etter GDPR: når må du ha det? forklarer når kravet gjelder. Nettsaga setter opp nettsider og nettbutikker der datadeling og samtykke er håndtert fra starten, og du kan book en demo hvis du vil se hvordan det fungerer.

Vanlige spørsmål

Er det lov å dele personopplysninger med en samarbeidspartner?

Ja, når du har et behandlingsgrunnlag, har avklart rollene og har en avtale som beskriver formål og ansvar. Delingen må være nødvendig for formålet, og du må kunne dokumentere vurderingen i ettertid.

Kan vi dele kundedata med leverandøren vår uten samtykke?

Ofte ja. Behandler leverandøren opplysningene bare på dine vegne, bygger delingen typisk på avtalen med kunden eller på berettiget interesse, og du trenger en databehandleravtale. Bruker leverandøren dataene til egne formål, må grunnlaget vurderes på nytt.

Hva er forskjellen på datadeling og databehandleravtale?

Datadeling er aktiviteten, altså at opplysninger gjøres tilgjengelige for en annen part. Databehandleravtalen er dokumentet som styrer delingen når mottakeren behandler opplysningene på dine vegne og etter din instruks.

Kan vi sende personopplysninger til en leverandør utenfor EØS?

Personopplysninger om EØS-borgere kan som hovedregel bare deles med aktører i land som anses å ha et like sterkt personvern som EU. Overføring til andre land krever et eget grunnlag og en dokumentert vurdering av vernenivået.

Hvor lenge kan en samarbeidspartner lagre dataene vi deler?

Så lenge det er nødvendig for formålet dere har avtalt, og ikke lenger. Avtal sletting like konkret som delingen, og be om bekreftelse når samarbeidet avsluttes.