Kärnan i databehandlaravtalet finns i själva GDPR, och den texten ändras inte varje år. Det som förändras är praktiken runt den: vilka leverantörer du använder, hur dessa leverantörer i sin tur anlitar underentreprenörer, och reglerna för överföring av data utanför Europeiska unionen, som Europeiska kommissionen från tid till annan justerar. För de flesta små och medelstora företag märker du det inte på ditt eget kontrakt, utan på bilagan till det: listan över underbehandlare som din leverantör anlitar.
Det gör distinktionen viktig. Skyldigheten att ingå ett databehandlaravtal med varje part som behandlar personuppgifter för din räkning förblir oförändrad. Det som förändras ligger i detaljerna under denna skyldighet: vilka underbehandlare som är aktiva, om en leverantör låter data behandlas utanför EU, och vilka överenskommelser om detta som vid en given tidpunkt anses tillräckliga.
Vad som inte förändras i själva lagen
Skyldigheten att ingå ett databehandlaravtal, de minimidelar som måste ingå i det, och rollen för den personuppgiftsansvarige gentemot databehandlaren: dessa är fasta delar av GDPR. Det finns för närvarande ingen tillkännagiven ändring av dessa bestämmelser. När det väl händer sker det genom en ändring av själva förordningen eller genom ett avgörande från Europeiska domstolen, inte genom ett separat meddelande från en tillsynsmyndighet.
Vad som förändras i praktiken
Tre saker förändras vanligtvis väl, och ofta utan att du märker det omedelbar. För det första utökar programvaruleverantörer sin funktionalitet, till exempel med AI-funktioner som läggs på ett befintligt verktyg. Det kan innebära att en ny underbehandlare tillkommer som du inte kände till innan. För det andra ändrar tillsynsmyndigheter och EDPB regelbundet sina riktlinjer om specifika ämnen, såsom molnlagring eller internationell överföring, utan att lagen i sig förändras. För det tredje anpassar Europeiska kommissionen ibland standardklausulerna som används för överföring av data till länder utanför EU.
Underbehandlare: den tysta förändringen
Den största förändringen i ett databehandlaravtal ligger inte i huvuddokumentet utan i bilagan med underbehandlare. Ett bokföringsprogram som anlitar en ny hostingleverantör, ett HR-verktyg som lägger ut kundservice på ett callcenter i ett annat land: dessa är förändringar som enligt GDPR måste meddelas till dig, så att du kan bedöma om du motsätter dig dem. I praktiken är detta precis den delen som företag lättast missa, eftersom det ofta nämns i ett e-postmeddelande med en produktuppdatering och inte i ett separat juridiskt meddelande.
Överföring utanför EU
Om en leverantör låter data behandlas utanför Europeiska unionen måste det finnas en separat rättslig grund för det, till exempel standardklausuler från Europeiska kommissionen eller ett beslut att ett land erbjuder en adekvat skyddsnivå. Dessa rättsliga grunder granskas från tid till annan; vad som vid en viss tidpunkt ansågs tillräckligt kan senare anpassas. För dig som kund hos en SaaS-leverantör betyder detta att den juridiska grunden under ett befintligt avtal kan förändras utan att avtalet i sig justeras. Vad detta konkret betyder för dina egna leverantörer går inte att säga i allmänhet; det kräver en granskning av det specifika avtalet och den aktuella situationen enligt Autoriteit Persoonsgegevens.
Vad detta betyder för dina egna avtal
Den praktiska frågan är inte om lagen har ändrats, utan om dina underentreprenörer och överföringsregler enligt dina befintliga avtal fortfarande stämmer överens med vad du någonsin har kommit överens om eller kontrollerat. Det innebär att regelbundet kontrollera om en leverantör har rapporterat nya underentreprenörer, och om bilagorna till ditt databehandlingsavtal fortfarande är aktuella. För en första orientering om vad som exakt bör finnas i ett sådant avtal kan du läsa i kunskapsbanken om databehandlingsavtal; den är gratis tillgänglig och sorterad per ämne, med källan i lagstiftningen bifogad.
Det är klokt att inte se detta som en engångskontroll, utan som något som fortsätter så länge du använder leverantörer som behandlar data för din räkning. Den som använder flera SaaS-verktyg och inte exakt vet vilka underentreprenörer som finns under dem kan hitta det i de vanliga frågorna om pågående databehandlingsavtal. Och om du är osäker på om en rapporterad ändring hos en leverantör påverkar ditt eget ansvar, är det lämpligt att få det granskad av en jurist eller, om du är osäker på rätt tillsynsmyndighet, att kontakta Datainspektionen.
Företagare som vill veta hur en sådan övervakning ser ut i praktiken kan läsa där informationen på gdpria.eu kommer ifrån och hur ändringar hos leverantörer följs.
Kontrollera själv var du står
Det mesta av förvirringen kring "vad har ändrats i år" kommer inte från en lagändring, utan från en leverantör som har gjort något utan att du märkte det. Om du vill se på några minuter om din egen situation behöver uppmärksamhet kan du göra den kostnadsfria snabbkontrollen eller gå igenom kunskapsbanken på de ämnen som är relevanta för ditt företag.