En databehandleraftale er en skriftlig aftale mellem to parter: den der bestemmer hvorfor og hvordan personoplysninger behandles, og den der udfører det på deres vegne. Den første kaldes i GDPR'en den dataansvarlige, den anden databehandleren. Du har brug for sådan en aftale, så snart du outsourcer personoplysninger til en anden virksomhed, for eksempel et lønningsadministrationsbureau, en hostingpartner eller et SaaS-værktøj, hvor kundedata opbevares.
Grundlaget er enkelt: loven pålægger denne aftale, fordi den dataansvarlige forbliver ansvarlig for, hvad der sker med oplysningerne, selv hvis en anden virksomhed udfører det tekniske arbejde. Uden klare aftaler er det ikke fastlagt, hvad den anden part må eller ikke må gøre med oplysningerne, hvor længe de opbevares, og hvad der sker ved et dataindbryd. En databehandleraftale gør denne fordeling synlig.
Hvornår er der tale om en databehandler
Ikke alle parter, du samarbejder med, er en databehandler. En revisor, der udarbejder dit årsregnskab med eget fagligt ansvar, er typisk selv dataansvarlig for den opgave. En cloudtjeneste, der opbevarer og behandler dine kundedata efter dine instruktioner, er normalt en databehandler. Sondringen ligger i spørgsmålet om, hvem der bestemmer formål og midler for behandlingen. Hvis du er usikker på, om en part er en databehandler, giver vidensbanken fra Datatilsynet vejledning, og du kan også gennemgå dette situation for situation i vidensbanken med GDPR-emner pr. situation.
Hvad skal minimalt være inkluderet
GDPR nævner en række emner, der skal reguleres i en databehandleraftale: behandlingens emne og varighed, dens karakter og formål, typen af personoplysninger og kategorier af registrerede, den dataansvarliges forpligtelser og rettigheder, og aftaler om sikkerhed, fortrolighed, underleverandører og måden, hvorpå der medvirkes ved tilsyn. Det indeholder også, hvordan et eventuelt dataindbryd hos databehandleren håndteres, og hvad der sker med oplysningerne, når samarbejdet ophører.
Denne opregning findes ordret i selve forordningen; hvis du ønsker at læse den præcise ordlyd igen, findes den på EUR-Lex. Tilsynsmyndigheder som EDPB har desuden offentliggjort retningslinjer for, hvordan disse bestemmelser fortolkes i praksis, for eksempel vedrørende spørgsmålet om, hvornår en underleverandør skal anmeldes på forhånd.
Hvem udarbejder aftalen
I praksis leverer ofte den større part skabelonen: en softwareleverandør sender sin egen databehandleraftale med, når du indgår et abonnement, eller en kunde sender en til dig, fordi du behandler data for ham. Det betyder ikke, at du skal undertegne en fremsendt tekst uden videre. Det er tilrådeligt at kontrollere, om alle de nævnte emner er inkluderet, om sikkerhedsaftalerne stemmer overens med, hvad du forventer fra den anden part, og om ansvaret er fordelt rimeligt. Ved tvivl om en specifik klausul er det klogt at få den gennemgået af en jurist.
Hvorfor dette er mere end en underskrift
En databehandleraftale er ikke en formalitet, du ordner én gang og så glemmer. Så snart en værktøjsleverandør skifter, du engagerer en underleverandør uden for EU, eller karakteren af databehandlingen ændres, kan den eksisterende aftale blive forældet. Virksomheder, der arbejder med flere SaaS-værktøjer, har hurtigt ti til tyve af disse aftaler kørende, hver med sin egen løbetid og egne aftaler. At holde styr på, hvilke aftaler der findes, hvilke der er forældede, og hvilke der mangler, er en separat opgave ved siden af den daglige forretningsdrift.
Sikkerhedsaftalerne i aftalen fortjener også opmærksomhed: de fortæller noget om, hvordan en databehandler håndterer adgang, kryptering og meldinger ved hændelser. Læs mere om, hvad der er relevant her, på siden om sikkerhed ved personoplysninger hos databehandlere.
Hvad du selv kan gøre
Kontroller ved hvert nyt samarbejde, om der deles personoplysninger, og hvis ja, om der er behov for en databehandleraftale, og om den er til stede. Gem disse aftaler overskueligt sammen med det register over behandlingsaktiviteter, som viser, hvilke værktøjer der behandler hvilke oplysninger. Hvis du er i tvivl om, hvorvidt en konkret aftale er fuldstændig, kan du få den kontrolleret gratis på de vigtigste punkter. For ofte stillede spørgsmål om dette emne, såsom hvad der sker, hvis en leverandør ikke vil underskrive en aftale, finder du et overblik på siden med ofte stillede spørgsmål om GDPR.
Vil du vide, hvordan dette passer ind i din egen situation, for eksempel hvor mange databehandleraftaler du sandsynligvis har brug for, og hvilke af dem der kræver opmærksomhed? Gør den gratis quick-scan eller registrer en forretningskonto for at få overblikkene til at følge med. Således kan du på et par minutter se, hvor du står, uden at du straks er forpligtet til noget.