Hvis leverandøren, som du indgår en databehandleraftale med, er placeret uden for Den Europæiske Union eller Det Europæiske Økonomiske Samarbejdsområde, ændres databehandleraftalen selv ikke væsentligt. Samme elementer, som GDPR'en foreskriver – behandlingens genstand og varighed, dets karakter og formål, arten af data, kategorier af registrerede, samt dine forpligtelser og rettigheder som dataansvarlig – skal stadig være til stede, uanset hvor leverandøren er etableret.
Hvad der derimod kommer til, er et separat regellag: GDPR'en stiller ekstra betingelser for overførsel af personoplysninger til et land uden for EU eller EØS. Dette regellag tvinger dig til at kontrollere, om der for det specifikke land er behov for en sikkerhed ud over de almindelige aftaler i databehandleraftalen, og hvis ja, hvilken.
Hvad der forbliver det samme
Kernen i en databehandleraftale handler om forholdet mellem dig og den part, der behandler data på dine vegne: hvem gør hvad, med hvilket formål, hvor længe, og hvad der sker ved et databrud eller når samarbejdet afsluttes. Disse aftaler gælder for enhver databehandler, uanset om denne er placeret i Rotterdam, Dublin eller San Francisco. En leverandør uden for EU fritager dig således ikke fra den almindelige vurdering af en databehandleraftale; denne vurdering forbliver nødvendig, der kommer blot noget ekstra dertil.
Overførselsreglerne: det ekstra regellag
GDPR'en regulerer separat, under hvilke betingelser personoplysninger må forlade EU's eller EØS's område. Udgangspunktet er, at databeskyttelsesniveauet ikke må forringes, fordi data sendes til et andet land. For en række lande har Europa-Kommissionen fastslået, at beskyttelsesniveauet der er tilstrækkeligt; det kaldes en tilstrækkelighedsafgørelse, og den gælder ikke automatisk for hele et land, men nogle gange kun for en bestemt sektor eller ordning. Hvis der ikke foreligger en tilstrækkelighedsafgørelse, er en hyppigt anvendt mekanisme de standardkontraktbestemmelser, som Europa-Kommissionen offentliggør: en fastsat model, der anvendes som supplement ved siden af eller som bilag til databehandleraftalen. Hvilken variant der er relevant, og om den er aktuel, kan ændre sig; kilder til de aktuelle lister og modeller findes hos Europa-Kommissionen og hos Datatilsynet, ikke i en fast tekst, som du kan huske.
Skyen gør det sværere end det ser ud til
For mange SaaS-værktøjer virker spørgsmålet "er min leverandør placeret inden for EU" enklere end det er. En leverandør kan have et europæisk hovedkontor og alligevel benytte underdatabehandlere, datacentre til sikkerhedskopi eller supportmedarbejdere uden for EU. Også det tæller som overførsel, selv om hovedsædet er i Danmark eller Tyskland. Spørgsmålet er således ikke kun, hvor leverandøren er etableret, men hvor data faktisk ender henne, inklusiv de forbindelser bag ved.
Hvad du praktisk kan spørge om
En leverandør, der har sine forhold i orden, kan som regel angive, hvor data behandles og lagres, om der indsættes underdatabehandlere uden for EU, og hvilken overførselsmekanisme der er anvendt til dette. Denne type spørgsmål hører hjemme i samme vurdering som resten af databehandleraftalen: ikke som en separat øvelse bagefter, men som en del af læsningen af aftalen selv. Den, der søger struktur her, finder i videnbanken, som er forklaret pr. emne hvordan de forskellige situationer forholder sig til hinanden.
Hvorfor kildehenvisningen er særlig vigtig her
Fordi lister over tilstrækkeligheds- og modelbeslutninger samt modeller for standardkontraktbestemmelser ændrer sig over tid, er risikoen for et forældet scenario større her end hos de fleste andre GDPR-emner. En tekst, der er korrekt i dag, behøver ikke at være det om et år. Derfor arbejder vi altid med direkte henvisninger til kilden i stedet for en sammenfatning, der skal stå alene; præcis hvordan det ser ud, kan du læse på siden om hvor vores informationer kommer fra.
Hvad det betyder for dit register og dine aftaler
Hvis du holder styr på, hvilke leverandører du bruger, og hvor de er etableret, kan du på et øjeblik se, hvilke databehandleraftaler dataloven reglerne for overførelse betyder for, og hvilke de ikke gør. Det er præcis derfor, etableringsland er en fast del af den måde, vi tilføjer en leverandør til systemet på. Spørgsmål, der kommer op igen og igen om dette emne, er samlet under de ofte stillede spørgsmål om leverandører og data uden for Danmark.
Om der faktisk er behov for yderligere garantier for din situation, og hvilke, er i sidste ende op til dig eller din advokat at vurdere; vi giver vejledning og struktur, ikke juridisk rådgivning. Hvis du er i tvivl om anvendelsen i en konkret sag, kan du også henvende dig til Datatilsynet.
Vil du gerne have et overblik over, hvilke af dine leverandører der ligger inden for og uden for EU, og om der er en databehandleraftale med de rigtige garantier på plads? Foretag den gratis kontrol af en databehandleraftale, eller åbn en erhvervskonto for at holde det styr i dit register.