Kernen i databehandleraftalen er fastsat i GDPR'en selv, og denne tekst ændres ikke hvert år. Hvad der derimod skifter, er praksis omkring den: hvilke leverandører du bruger, hvordan disse leverandører til gengæld hyrer underkontraktanter, og reglerne omkring overførsel af data uden for Den Europæiske Union, som Europa-Kommissionen justerer fra tid til anden. For de fleste små og mellemstore virksomheder mærker du det ikke på din egen kontrakt, men på vedhæftelsen til den: listen over underdatabehandlere, som din leverandør indsætter.
Det gør sondringen vigtig. Pligten til at indgå en databehandleraftale med enhver part, der behandler personoplysninger på dine vegne, forbliver uændret. Hvad der ændrer sig, ligger i detaljerne under denne pligt: hvilke underdatabehandlere der er aktive, om en leverandør lader data behandle uden for EU, og hvilke aftaler herom der på et givet tidspunkt anses for tilstrækkelige.
Hvad der ikke ændrer sig i selve loven
Pligten til en databehandleraftale, de minimale dele, der skal være i den, og dataansvarligsrolle over for databehandleren: det er faste dele af GDPR'en. Der er på nuværende tidspunkt ingen planlagt ændring af disse bestemmelser. Når det sker, sker det gennem en ændring af forordningen selv eller gennem en afgørelse fra EU-Domstolen, ikke gennem en separat meddelelse fra en tilsynsmyndighed.
Hvad der i praksis godt skifter
Tre ting ændrer sig typisk, og ofte uden at du bemærker det med det samme. For det første udvider softwareleverandører deres funktionalitet, for eksempel med AI-funktioner, der tilføjes et eksisterende værktøj. Det kan betyde, at der kommer en ny underdatabehandler, som du ikke kendte. For det andet ændrer tilsynsmyndigheder og EDPB regelmæssigt deres retningslinjer om specifikke emner, såsom cloud-lager eller international overførsel, uden at loven selv ændrer sig. For det tredje justerer Europa-Kommissionen nogle gange de standardbestemmelser, der bruges til overførsel af data til lande uden for EU.
Underdatabehandlere: den stille ændring
Det meste af skiftet i en databehandleraftale ligger ikke i hoveddokumentet, men i vedhæftelsen med underdatabehandlere. En bogholderipakke, der indsætter en ny hostingleverandør, et HR-værktøj, der outsourcer kundeservice til et call center i et andet land: det er ændringer, der ifølge GDPR'en skal meddeles dig, så du kan vurdere, om du har indsigelse derimod. I praksis er dette præcis den del, som virksomheder lettest overser, fordi det ofte nævnes i en e-mail med en produktopdatering og ikke i en separat juridisk meddelelse.
Overførsel uden for EU
Hvis en leverandør lader data behandle uden for Den Europæiske Union, skal der være et særskilt grundlag herfor, for eksempel standardbestemmelser fra Europa-Kommissionen eller en afgørelse, der fastslår, at et land tilbyder et passende beskyttelsesniveau. Disse grundlag gennemgås fra tid til anden; hvad der på et givet tidspunkt ansås for tilstrækkeligt, kan senere blive justeret. For dig som kunde hos en SaaS-leverandør betyder det, at det juridiske grundlag under en eksisterende aftale kan ændre sig uden, at selve kontrakten tilpasses. Hvad det konkret betyder for dine egne leverandører, kan ikke siges generelt; det kræver et kig på den specifikke aftale og den aktuelle stand hos Datatilsynet.
Hvad det betyder for dine egne aftaler
Det praktiske spørgsmål er ikke, om loven er ændret, men om de underordnede databehandlere og reglerne for videregivelse under dine nuværende aftaler stadig stemmer overens med det, du engang har aftalt eller kontrolleret. Det betyder at kontrollere med jævne mellemrum, om en leverandør har meddelt nye underleverandører, og om bilagene til dine databehandleraftaler stadig er aktuelle. For en første orientering om, hvad der præcist skal stå i en sådan aftale, kan du konsultere videnbasen om databehandleraftaler; den er gratis tilgængelig og sorteret efter emne, med henvisningen til lovteksten vedlagt.
Det er klogt ikke at se dette som en engangskontrol, men som noget, der fortsætter, så længe du bruger leverandører, der behandler data på dine vegne. Hvis du bruger flere SaaS-værktøjer og ikke helt ved, hvilke underordnede databehandlere der ligger til grund for dem, kan du finde det i de ofte stillede spørgsmål om igangværende databehandleraftaler. Og hvis du er usikker på, om en meddelt ændring hos en leverandør har konsekvenser for dit eget ansvar, er det tilrådeligt at få det vurderet af en jurist eller, hvis du er usikker på den rigtige tilsynsmyndighed, at rette henvendelse til Datatilsynet.
Iværksættere, der gerne vil vide, hvordan sådan overvågning ser ud i praksis, kan læse, hvor informationen på gdpria.eu kommer fra og hvordan ændringer hos leverandører følges.
Se selv, hvor du står
De fleste uklarheder omkring "hvad er der ændret i år" skyldes ikke en lovændring, men en leverandør, der har foretaget en justering uden at du har bemærket det. Hvis du gerne vil se på et par minutter, om din egen situation kræver opmærksomhed, kan du foretage den gratis hurtigcheck eller gennemgå videnbasen på de emner, der er relevante for dit firma.