Den mest almindelige fejl ved vurdering af en databehandleraftale er, at virksomheder underskriver dokumentet uden at kontrollere, hvem der i det forhold har hvilken rolle. En databehandleraftale regulerer aftaler mellem en dataansvarlig, der bestemmer hvorfor og hvordan data behandles, og en databehandler, der udfører det på ordre. Hvis denne rollefordeling ikke kontrolleres, underskriver du nogle gange et dokument, der slet ikke gælder for din situation, eller du mangler netop en aftale, der burde have været der.
Desuden går det ofte galt på tre andre punkter: underdatabehandlere, der ikke er nævnt, sikkerhedsforanstaltninger, der kun er beskrevet i generelle termer, og ingen aftale om hvad der sker med dataene, når samarbejdet ophører. Dette er ikke små detaljer, men kernepunkterne i, hvad en databehandleraftale skal bruges til: at fastslå hvem der er ansvarlig for hvad, så længe samarbejdet varer, og også efter.
Kontrol af rollefordeling udebliver
En databehandleraftale forudsætter en fast fordeling: den ene part bestemmer formål og midler for behandlingen, den anden udfører denne behandling efter instruks. I praksis skifter disse roller nogle gange pr. opgave. Et bogføringsbureau er databehandler for en klients lønadministration, men dataansvarlig for egne personaleoplysninger. Den, der underskriver en aftale uden at fastslå denne rolle, er ikke sikker på, om det rigtige dokument underskrives. GDPR'en selv beskriver denne rollefordeling, og EDPB's retningslinjer går grundigt ind på det.
Underdatabehandlere, der ikke nævnes
Mange SaaS-værktøjer tager igen andre parter ind, for eksempel til hosting eller kundeservice. En databehandleraftale bør angive om det er tilladt, under hvilke betingelser, og om du orienteres herom på forhånd. Hvis denne bestemmelse mangler, ved du simpelthen ikke, hvilke parter der i praksis har adgang til de data, du leverer. Det er præcis den slags information, du kan slå op i videnbasen efter emne før du sætter din underskrift.
Sikkerhed, der kun er angivet i generelle termer
En sætning som "passende tekniske og organisatoriske foranstaltninger gennemføres" siger i sig selv ikke meget. En aftale, der går videre, specificerer konkret, hvad disse foranstaltninger består af: kryptering, adgangskontrol, sikkerhedskopier, anmeldelsesprocedurer ved hændelse. Jo mere specifikt det er fastsat, jo tydeligere er det, hvad en leverandør faktisk udfører. Som sammenligning: på siden om, hvordan vi selv behandler data og sikkerhed kan du se, hvordan sådan en forklaring kan se ud i praksis.
Ingen aftale om afslutning af samarbejdet
Hvad sker der med dataene, når kontrakten ophører? Returneres de, destrueres de, eller bliver de stående et sted? Dette er en af de punkter, der oftest mangler, selv om det netop efter samarbejdets ophør er vanskeligt at træffe aftaler efterfølgende. En databehandleraftale, der ikke siger noget herom, efterlader dig med et hul i administrationen på det tidspunkt, du har mindst brug for det.
Sådan undgår du det
De fleste af disse fejl opstår ikke af onde hensigter, men på grund af tidsmangel: en databehandleraftale opfattes som en formalitet, mens der indholdsligt drejer sig om fire eller fem konkrete punkter. Gennemgå disse punkter, før du underskriver, og spørg leverandøren, hvis noget mangler eller er vagt formuleret. Hvis du er usikker på en bestemt bestemmelse, konsulteres en advokat, eller hvis du har spørgsmål om fortolkningen af GDPR'en selv, kontakt Datatilsynet. Svar på ofte stillede spørgsmål om denne slags dokumenter finder du også under de ofte stillede spørgsmål om databehandleraftaler.
Denne forklaring er beregnet til at hjælpe dig med at forstå, hvad der bør være i en databehandleraftale, ikke til at vurdere, om et specifikt dokument, du modtog, opfylder kravene. Hvordan vi kom til disse oplysninger, og hvilke kilder der ligger til grund herfor, kan du læse på siden om hvordan det fungerer.
Vil du hurtigt se, hvor din virksomhed står? Tag den gratis quick-scan, eller gennemse emnerne i videnbanken for at se, hvilket trin der er relevant for din situation.