Utenlandske leverandører og GDPR: dette bør du sjekke før du signerer

Når du kjøper nettside, CRM, e-post eller booking av en leverandør, er du som regel behandlingsansvarlig og leverandøren databehandler. Det betyr at det er du som må kunne forklare hvorfor opplysningene samles inn, hvor lenge de lagres og hvem som har tilgang. Leverandøren utfører jobben på dine vegne, men forpliktelsene ligger hos deg. Hva er GDPR? Enkelt forklart samler grunnbegrepene hvis du vil ha dem på ett sted.

Dette er ikke bare teori. Når en leverandør rammes av et avvik, er det de behandlingsansvarlige virksomhetene som merker konsekvensene, fordi det er de som bærer ansvaret for opplysningene som er kompromittert. Leverandørens størrelse eller kjente merkenavn endrer ikke dette.

Praktisk betyr det at du bør kunne svare på tre spørsmål før du signerer: Hvilke personopplysninger havner i systemet, hvor behandles de, og hva har du avtalt skriftlig om behandlingen.

Mange avtaler beskriver bare leverandøren du forhandler med. I praksis er det sjelden der opplysningene stopper. Underleverandører kan stå for drift, lagring, kundestøtte, fakturering eller analyse, og noen av dem kan ha fjerntilgang til systemet fra et annet land. Det er denne kjeden du må ha oversikt over, ikke bare hovedleverandøren.

Dette bør du få skriftlig svar på:

• Hvilke underleverandører behandler opplysninger for dere, og hva gjør hver av dem
• I hvilke land opplysningene lagres og behandles, også midlertidig
• Om noen hos leverandøren har fjerntilgang fra land utenfor EØS, for eksempel ved support
• Hvordan du varsles før en ny underleverandør tas i bruk
• Hvem som er kontaktpunkt ved sikkerhetsavvik

Gå gjennom systemene du allerede har. Et CRM inneholder typisk kundekort, e-post, notater og kanskje tilbud, mens nettsiden samler inn skjemasvar, chat og besøksstatistikk. GDPR og CRM: slik behandler du kundedata trygt viser hva som typisk ligger i den typen system og hva du bør rydde i.

Behandler leverandøren personopplysninger på dine vegne, krever GDPR en databehandleravtale. Den skal ikke være et generelt vedlegg du signerer uten å lese. Datatilsynet har veiledere både for når avtalen må inngås og hva den bør inneholde, og de er nyttige å holde ved siden av når du går gjennom utkastet.

Sjekk særlig om avtalen:

• Setter klare rammer for hva leverandøren kan gjøre med personopplysningene, og til hvilket formål
• Gir tilstrekkelig informasjon om underleverandører og hvilke land de opererer i
• Beskriver konkrete sikkerhetstiltak, ikke bare «tilstrekkelig sikkerhet»
• Sier hvordan avvik varsles til deg, og innen hvilke frister
• Sikrer at du får bistand ved innsynskrav, retting og sletting
• Avklarer om data slettes, anonymiseres eller returneres når avtalen avsluttes
• Gir deg rett til å følge opp og revidere behandlingen

Et vanlig faresignal er vide forbehold om at leverandøren kan overføre personopplysninger til land utenfor EØS for å oppfylle egne juridiske forpliktelser. Slike formuleringer gir lite kontroll, og de bør følges opp med spørsmål om hvilke land det gjelder og hvilke garantier som i så fall er på plass.

Bruker du amerikanske skytjenester eller support i et tredjeland, må du forholde deg til reglene om overføring av personopplysninger ut av EØS. Overføringen må ha et gyldig grunnlag, og der det er nødvendig må du bruke egnede beskyttelsestiltak etter GDPR artikkel 46. Schrems II-dommen er bakgrunnen for at mange avtaler er skrevet om de siste årene.

Vurderingen bør dokumenteres, ikke bare tenkes. Noter hvilket overføringsgrunnlag du bygger på, hvilke supplerende tiltak som er avtalt, og hvordan leverandøren håndterer en forespørsel fra en utenlandsk myndighet om utlevering av data. Artikkel 48 i GDPR begrenser slike utleveringer, og det er nettopp her mange standardvilkår er uklare. Du kan ikke risikovurdere deg bort fra eget ansvar.

Data Act, forordning (EU) 2023/2854, har fra september 2025 krav om at skytjenesteleverandører skal iverksette tiltak for å hindre ulovlig tilgang fra tredjelands myndigheter. Kravene der gjelder først og fremst ikke-personopplysninger, mens personopplysninger fortsatt styres av GDPR. Reglene utfyller hverandre, men de erstatter ikke personvernvurderingen din.

Det er lett å tro at valget «europeisk region» løser saken. Det gjør det ikke alene. Du kan lagre data i et datasenter i Europa og likevel være eksponert for utenlandsk jurisdiksjon dersom leverandøren er underlagt et annet lands lover. Regionvalget flytter hvor dataene står, men ikke nødvendigvis hvilke regler leverandøren er bundet av.

Datatilsynet har vist til en svensk uttalelse om en leverandør i EØS som var underlagt tredjelands lovgivning. Poenget der er at du må ta stilling til hvilke tekniske og organisatoriske garantier som kreves for å hindre ulovlig overføring, for eksempel hvordan leverandøren sikrer at den ikke utleverer opplysninger i strid med artikkel 48. Kravene i artikkel 28 gjelder uansett hvor leverandøren holder til.

Praktisk tilnærming:

• Hold personopplysninger i EØS der det er mulig
• Bruk leverandørens europeiske datagrenser hvis du velger en stor internasjonal aktør
• Vurder suverene alternativer for sensitive opplysninger, som helseinformasjon eller opplysninger om mindreårige
• Skriv ned vurderingen, slik at den finnes hvis noen spør senere

GDPR artikkel 32 krever et sikkerhetsnivå som står i forhold til risikoen. For en liten bedrift betyr det ikke at du må bli sikkerhetsekspert, men at du må kunne dokumentere at du har stilt de relevante spørsmålene og valgt en leverandør som svarer troverdig på dem.

Dette er rimelige spørsmål å stille:

• Har leverandøren tofaktorautentisering og tilgangsstyring per bruker
• Krypteres data i ro og under overføring
• Logges tilgang, og hvor lenge tas loggene vare på
• Hvem i leverandørens organisasjon har tilgang til våre data, og hvordan er den tilgangen begrenset
• Hvordan varsles vi ved avvik, og hvem er kontaktpunkt
• Hvilken opplæring får ansatte som håndterer kundedata

Nettsiden fortjener en egen gjennomgang, fordi den samler inn opplysninger gjennom skjemaer, chat, booking og analyseverktøy. Regler for nettsider og netthandel: personvern, samtykke og angrerett går gjennom hva som må være på plass. Bruker du bilder eller innebygde tjenester fra utlandet, bør du også se på gratis bilder til nettsiden: hvor du finner dem, og hva du må sjekke, fordi både lisenser og innlasting fra eksterne servere påvirker personvernet. Domene og bedrifts-e-post er også leverandørvalg: slik sjekker du om et domene er ledig hjelper deg å velge med åpne øyne.

Noen utenlandske leverandører svarer at de ikke anser seg som databehandler, enten fordi de mener å bestemme formål og midler selv, eller fordi vilkårene deres er skrevet for et annet marked. Da bør du undersøke om leverandøren godtar å være felles behandlingsansvarlig med deg. Det gir en annen ansvarsfordeling enn en vanlig databehandleravtale, og den må avklares skriftlig.

Hvis leverandøren holder fast på at den ikke er databehandler, er det i praksis et spørsmål om du vil bruke tjenesten i det hele tatt. Alternativene er å finne en leverandør som aksepterer databehandleravtale, å begrense hvilke opplysninger som legges inn, eller å velge en løsning der du beholder kontrollen over dataene selv.

En enkel beslutningsregel:

• Velg leverandøren hvis du får skriftlig databehandleravtale, oversikt over underleverandører og svar på sikkerhetsspørsmålene
• Velg den bort hvis du bare får henvisning til generelle vilkår, ingen opplysninger om underleverandører eller uklare forbehold om overføring til tredjeland

Leverandørforhold tar slutt, og da må du vite hva som skjer med opplysningene. Skal de slettes, anonymiseres eller returneres, og hvem bekrefter at det er gjort? Dette bør stå i avtalen allerede fra start, ikke avtales i en travel avslutningsfase. Du bør også kunne få ut kundedata i et format du faktisk kan bruke videre.

Lag en kort fil per leverandør med avtalen, oversikt over underleverandører, sikkerhetssvar og hva som er avtalt om sletting. Da har du noe å vise til hvis du får spørsmål fra en kunde, en samarbeidspartner eller et tilsyn. Det trenger ikke være omfattende, men det må være oppdatert.

Skal du først bytte nettside eller kundesystem, kan det være like greit å ta leverandørvurderingen samtidig som du ser på tjenesten vår. Nettsaga har 4,6 av 5 stjerner på Google fra 35 omtaler, over 1 200 bedrifter har valgt oss, og kundene våre fikk 119 000 kundehenvendelser de siste 12 månedene. Vi samler nettside, Google Bedriftsprofil, oppføringer, omtaler, annonser og kundesystem på ett sted, med et norsk team i Oslo som jobber med bedrifter i hele landet. Første steg er å booke en demo, så går vi gjennom kravene sammen.