GDPR artikkel 28: hva databehandleravtalen må inneholde

Hva artikkel 28 krever av deg som behandlingsansvarlig

Regelen gjelder når behandling skal utføres på vegne av en behandlingsansvarlig. Da kan du bare bruke databehandlere som gir tilstrekkelige garantier for at behandlingen oppfyller personvernforordningen og sikrer den registrertes rettigheter. Avtalen skal være skriftlig, og etter forordningen er elektronisk form likestilt med papir. En signert PDF eller en dokumentert aksept i leverandørens kundesenter er nok, men du må kunne vise den fram.

Artikkel 28 er ett av flere krav du må ha oversikt over samtidig. Regler for nettsider og netthandel: komplett guide for bedrifter samler personvern, vilkår og markedsføring på ett sted, og er et greit utgangspunkt før du går i dybden på selve avtaleteksten.

Poenget med artikkel 28 er å plassere ansvaret. Du beholder ansvaret for å velge behandlingsgrunnlag, definere formål og ivareta de registrertes rettigheter. Databehandleren får selvstendige plikter, blant annet om instrukser, sikkerhet og varsling, men de kommer i tillegg til dine, ikke i stedet for.

Hvem er databehandler, og når trenger du avtale?

En databehandler behandler personopplysninger på vegne av den behandlingsansvarlige. GDPR artikkel 4: definisjoner og personopplysninger gir deg begrepsapparatet og skiller mellom behandlingsansvarlig, databehandler og den registrerte. Den behandlingsansvarlige bestemmer hvorfor og hvordan opplysningene behandles. Databehandleren gjør jobben etter avtale.

I en liten bedrift er listen ofte lengre enn folk tror. Regnskapsbyrå, lønnssystem, webhotell, e-postmarkedsføring, betalingsløsning, bookingverktøy, kundestøtte-chat og fraktselskap som får navn og adresse, er typiske eksempler. Du trenger avtale selv om tjenesten er liten, selv om den er norsk, og selv om leverandøren kaller seg underleverandør i stedet for databehandler.

Samme leverandør kan ha to roller. Regnskapsføreren din er behandlingsansvarlig for egne plikter etter regnskapslovgivningen, men databehandler for det den gjør på dine vegne. Hvis en databehandler selv fastsetter formålene med og midlene for en behandling, skal den regnes som behandlingsansvarlig for nettopp den behandlingen.

Dette skal stå i avtalen

Artikkel 28 nr. 3 lister opp punktene avtalen må dekke. Databehandleren skal behandle personopplysninger bare etter dokumenterte instrukser fra deg, sørge for at ansatte med tilgang er underlagt taushetsplikt, og gjennomføre egnede sikkerhetstiltak etter artikkel 32. Videre skal databehandleren bistå deg med de registrertes rettigheter, bistå med pliktene i artikkel 32 til 36, slette eller returnere opplysningene ved opphør, og gjøre tilgjengelig informasjon som viser at forpliktelsene er oppfylt, samt muliggjøre revisjon og inspeksjon.

Instruksbestemmelsen er den mest undervurderte. Avtal hvem hos deg som kan gi nye instrukser, og hvordan de dokumenteres. Ellers blir det uklart om en e-post fra en ansatt var en instruks eller bare et ønske. Avtal også hva som skjer hvis databehandleren mener en instruks strider mot regelverket. Den skal da varsle deg uten ugrunnet opphold.

Varslingsrutinen bør være konkret. Bli enige om kanal og et praktisk tidsmål, slik at du rekker å vurdere din egen frist på 72 timer ved avvik. Datatilsynets veiledning peker på at avtalen gjerne kan inneholde mer enn minstekravene. Jo mer omfattende, inngripende eller risikofylt behandlingen er, jo mer konkret bør avtalen være.

Underdatabehandlere og overføring utenfor EØS

Bruker databehandleren underleverandører, krever artikkel 28 at du gir skriftlig forhåndssamtykke, eller en generell tillatelse med plikt til å varsle deg og gi deg mulighet til å motsette deg endringer. Databehandleren skal pålegge underdatabehandleren de samme pliktene som står i hovedavtalen. Legg derfor en oppdatert liste over underdatabehandlere ved avtalen, med hva de gjør.

Behandles opplysningene utenfor EØS, kommer kapittel V i tillegg, med vilkår etter artikkel 44 og 46. Her går det ofte galt: Standardkontraktsklausulene som EU-kommisjonen har vedtatt for artikkel 28, gjelder forholdet mellom behandlingsansvarlig og databehandler. De er ikke det samme som klausulene for overføring til tredjeland. Sjekk hvilket behov du faktisk har før du signerer.

Vanlige feil og hva du bør sjekke

Den vanligste feilen er å signere leverandørens standardavtale uten å lese den. Sjekk at den faktisk beskriver det du bruker tjenesten til, hvilke kategorier av opplysninger som behandles, og om den dekker særlige kategorier der det er relevant. GDPR artikkel 9: særlige kategorier av personopplysninger forklarer når kravene blir strengere.

Neste fallgruve er å tro at avtalen erstatter din egen vurdering. Du må fortsatt ha et behandlingsgrunnlag etter GDPR artikkel 6: behandlingsgrunnlag for personopplysninger, og du bør vurdere om behandlingen krever konsekvensvurdering etter GDPR artikkel 35: når trenger du konsekvensvurdering?. Sporingsverktøy og annet som settes inn på nettsiden, må også dekkes. Se Informasjonskapsler på nettsiden: dette sier reglene.

En tredje feil er å bare rydde i nye avtaler. Kravet gjelder også etablerte samarbeid, og Datatilsynet har i en sak pålagt et sykehus å regulere forholdet i egne databehandleravtaler, med støtte i Personvernnemnda. Gå gjennom leverandørlisten på nytt hvert år, og når du bytter verktøy eller lanserer nye tjenester.

Slik kommer du i gang

Start med en liste over alle tredjeparter som ser eller lagrer personopplysninger for deg. For hver av dem: noter hva de gjør, hvilke opplysninger de får, om de bruker underleverandører, og hvor de oppbevarer dataene. Da ser du raskt hvor du mangler avtale og hvor avtalene er for generelle.

Deretter går du gjennom punktene i artikkel 28 nr. 3 mot avtaleteksten du har. Mangler noe, be leverandøren om et tillegg. Noter dato og versjon, og legg avtalen der du oppbevarer personverndokumentasjonen din, ikke i en e-postmappe ingen finner igjen. En enkel oversikt over leverandører, formål og avtaledato gir deg svar den dagen noen spør.

Trenger du et sted å samle skjemaer, informasjonskapsler og personverninformasjon på nettsiden, er Nettsagas tjeneste for nettsider ett alternativ blant flere. Vil du se hvordan det ser ut, kan du book en demo.

Vanlige spørsmål

Er databehandleravtale påkrevd når vi bruker et vanlig regnskaps- eller lønnssystem?

Ja, når leverandøren behandler personopplysninger på dine vegne. Det gjelder også standardtjenester som regnskap, lønn, webhotell og e-postmarkedsføring, uavhengig av om leverandøren er norsk eller utenlandsk.

Holder det med leverandørens ferdige standardavtale?

Ofte, men du må lese den. Sjekk at den beskriver tjenesten du faktisk bruker, hvilke opplysninger som behandles, underdatabehandlere og hvor dataene lagres. Mangler noe, be om et tillegg.

Må vi ha egen avtale med underleverandører?

Ikke nødvendigvis direkte med deg. Hoveddatabehandleren skal pålegge underdatabehandleren de samme pliktene, og du skal samtykke til bruken eller ha en generell tillatelse med varslingsplikt.

Hva skjer hvis vi ikke har databehandleravtale?

Da oppfyller du ikke artikkel 28, og du kan få pålegg om å rette forholdet. I tillegg mister du dokumentasjonen du trenger hvis det oppstår et avvik eller en forespørsel fra en registrert.

Er en databehandleravtale det samme som samtykke fra kunden?

Nei. Avtalen regulerer forholdet mellom deg og leverandøren. Samtykke eller informasjon til kunden handler om behandlingsgrunnlaget overfor den registrerte, og er et separat krav.