Hvilke krav gælder for databehandleraftaler og underleverandører?

Kort svar: Hvornår er en databehandleraftale relevant?

Behandler en ekstern leverandør personoplysninger på vegne af din virksomhed, er en databehandleraftale et centralt redskab. Det gælder også en ekstern bogholder eller servicepartner med adgang til personaleoplysninger – ikke kun it-systemer eller callcentre. Datatilsynet forstår »behandling« bredt: indsamling, registrering, videregivelse eller sletning af oplysninger om fx kunder eller ansatte. GDPR gælder, når danske virksomheder behandler personoplysninger.

Kravet om databehandleraftale følger af databeskyttelsesforordningens artikel 28. Der skal være en skriftlig databehandleraftale, når en ekstern part behandler personoplysninger på vegne af virksomheden. Elektronisk form er tilstrækkelig. Det gælder også almindelige oplysninger som navn og e-mail.

Aftalen bør ifølge danske vejledninger om artikel 28 bl.a. beskrive formål og varighed, typer af personoplysninger og kategorier af registrerede, instrukser, sikkerhedsforanstaltninger, fortrolighed, brug af underdatabehandlere, bistand til den dataansvarlige, sletning eller tilbagelevering ved ophør samt adgang til at føre kontrol. Sikkerhedsforpligtelsen knytter sig til artikel 32.

Databeskyttelsesforordningen fik virkning 25. maj 2018. Ifølge Dansk Industri skal alle virksomheder kunne dokumentere, at de behandler persondata i overensstemmelse med reglerne. DI peger på, at virksomheder i værste fald kan straffes med store bøder, hvis dokumentationen mangler.

Manglende databehandleraftale er et brud på GDPR. Det kan føre til bøder eller påbud fra Datatilsynet.

Dansk Industri henviser til databeskyttelsesloven. Forordningen har direkte virkning i Danmark, så der som udgangspunkt ikke må være anden dansk lovgivning, der regulerer behandling af personoplysninger, i det omfang forordningen regulerer det.

Datatilsynet fører tilsyn med, at databeskyttelsesreglerne overholdes i Danmark. I »Myter om GDPR« understreger tilsynet, at det normalt er den enkelte dataansvarliges opgave at sikre overholdelse af GDPR. Samme sted slår Datatilsynet fast, at man i udgangspunktet ikke bliver godkendt eller får tilladelse af tilsynet; kun i meget få tilfælde skal man indhente tilsynets tilladelse til behandling af personoplysninger. Dokumentationen for jeres leverandørforhold bør I derfor selv kunne fremlægge.

Dataansvarlig eller databehandler: Første krav er at kende sin rolle

Rollerne afgør, hvem der må beslutte hvad, og hvem der er ansvarlig over for de registrerede. Den dataansvarlige bestemmer formålet med og rammerne for behandlingen. Databehandleren behandler oplysningerne for den dataansvarlige. En underleverandør er den part, som databehandleren sætter til at udføre hele eller dele af opgaven.

Efter artikel 28, stk. 1, må den dataansvarlige kun benytte databehandlere, der kan stille de fornødne garantier for passende tekniske og organisatoriske foranstaltninger. Garantierne skal sikre, at behandlingen opfylder forordningen og beskytter den registreredes rettigheder.

Datatilsynets grundvejledning henviser til »Dataansvarlig eller databehandler?«.

Rollevurderingen er den dataansvarliges ansvar. Datatilsynets grundvejledning siger, at du kender bedst din egen virksomhed, og derfor skal du vurdere, til hvilke formål du behandler personoplysninger, og hvor længe de skal gemmes. De vurderinger bør ind i aftalen som konkrete formål og tidsfrister – ikke som generelle henvisninger til, at leverandøren »følger GDPR«.

For praktikeren betyder rollefordelingen tre ting i aftalen: hvem der instruerer behandlingen og hvordan, hvem der må bruge oplysningerne til egne formål (som udgangspunkt ingen), og hvem der kan dokumentere overholdelsen over for tilsynet. En underleverandør er ikke part i den oprindelige aftale mellem jer og databehandleren. Viderefør derfor forpligtelserne aftalemæssigt i næste led.

Det konkrete indhold: Formål, instrukser, sikkerhed og sletning

Start med aftalens omfang. Beskriv formål og varighed, hvilke typer af personoplysninger og kategorier af registrerede der er tale om, og hvilke opgaver leverandøren løser. Vær konkret om, hvilke kategorier af oplysninger der er tale om, og hvilke registrerede de vedrører.

Artikel 28, stk. 3, opstiller de obligatoriske aftaleelementer. Aftalen skal fastsætte behandlingens genstand og varighed, behandlingens karakter og formål, typen af personoplysninger og kategorierne af registrerede samt den dataansvarliges forpligtelser og rettigheder. Databehandleren må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige.

Instrukser og fortrolighed er centrale praktiske emner. Den dataansvarliges instrukser bør være så konkrete, at leverandøren kan handle efter dem uden selv at vurdere formålet. Aftalen kan beskrive, hvordan fortrolighed håndteres for personer med adgang til oplysningerne. Skriv også, hvordan leverandøren dokumenterer, at instrukserne er fulgt, og hvad der sker, hvis en instruks vurderes at stride mod reglerne.

Aftalen skal desuden dække fortrolighed, sikkerhedsforanstaltninger, vilkår for underdatabehandlere, bistand til den dataansvarlige, sletning eller tilbagelevering ved ophør og adgang til at føre kontrol. Det følger af artikel 28, stk. 3.

Behandlingssikkerhed er et fast element. Sikkerhedsforpligtelsen knytter sig til artikel 32. Aftalen kan derfor beskrive konkrete foranstaltninger: adgangsstyring, kryptering, logning og håndtering af brud på persondatasikkerheden.

Databehandleren skal bistå den dataansvarlige. Bistandspligten følger af artikel 28, stk. 3, litra e. Aftalen bør koble bistanden til de registreredes rettigheder og til håndtering af brud på persondatasikkerheden.

Aftalen bør beskrive, hvordan forpligtelserne over for de registrerede håndteres, så det står klart, hvem der håndterer en henvendelse fra en kunde eller ansat.

Artikel 28, stk. 3, kræver også, at den dataansvarlige kan føre kontrol. Aftalen bør give revisions- eller inspektionsret. Den bør beskrive, hvordan dokumentation kan fås udleveret.

Opbevaringsperiode og sletterutine er et selvstændigt punkt. Datatilsynet opregner, hvornår dataansvarlige skal slette personoplysninger. Oplysningerne skal væk, når de ikke længere er nødvendige for formålene, de blev indsamlet til, når et samtykke trækkes tilbage uden andet behandlingsgrundlag, og når behandlingen er ulovlig. Sletning skal også ske, når EU-lovgivning eller national lovgivning i en medlemsstat forpligter, når den registrerede udøver ret til indsigelse, og i det særlige tilfælde med informationssamfundstjenester.

Datatilsynet henviser til retten til sletning og opregner seks situationer, hvor oplysningerne skal væk. Den sidste gælder, hvor en udbyder af informationssamfundstjeneste har baseret behandlingen på forældremyndighedsindehaveres (forældrenes) samtykke, og den registrerede selv tilbagekalder samtykket efter fyldt 13 år. En af situationerne er, at behandlingen er ulovlig, fordi den ikke har hjemmel i databeskyttelsesforordningens kapitel II. Slettepunktet bør nævne hver situation i stedet for at henvise til sletning i almindelighed.

Aftalens sletterutine bør koble sig til de seks situationer og beskrive, hvordan og hvornår oplysningerne slettes eller tilbageleveres ved aftalens ophør.

Aftalen bør fastsætte, at oplysningerne slettes eller tilbageleveres ved aftalens ophør. Det er et krav efter artikel 28, stk. 3.

Obligatoriske elementer i databehandleraftale (artikel 28, stk. 3)

Sletningssituationer efter Datatilsynet

Underleverandører: Proces, forpligtelser og dokumentation

Aftalen bør beskrive en proces for underleverandører, før de tages i brug: hvordan den dataansvarlige involveres, og hvordan ændringer i listen over underleverandører håndteres. Uden en sådan proces kan leverandøren skifte underleverandør uden jeres vidende. Aftalens beskrivelse af behandlingen holder så op med at passe.

Efter artikel 28, stk. 2, må databehandleren ikke gøre brug af en anden databehandler uden forudgående specifik eller generel skriftlig godkendelse fra den dataansvarlige. Ved generel skriftlig godkendelse skal databehandleren underrette den dataansvarlige om planlagte ændringer, så den dataansvarlige kan gøre indsigelse.

Aftalen skal dække vilkår for underdatabehandlere. Det praktiske redskab er en underleverandørliste med navn, ydelse, placering og hvilke oplysninger den pågældende får adgang til. Rutinen skal holde listen opdateret.

Efter artikel 28, stk. 3, litra d, skal aftalen håndtere, at databehandleren opfylder betingelserne i artikel 28, stk. 2 og 4, for at gøre brug af en anden databehandler.

Hvor data opbevares, og hvordan de flyttes, er en del af samme øvelse. DI peger på, at virksomheden skal have styr på, hvilke data den behandler, og hvor de opbevares og overføres, for at kunne leve op til databeskyttelsesforordningen. Underleverandørkæden er derfor også et kortlægningsspørgsmål, ikke kun et kontraktspørgsmål.

Ansvarsmæssigt er det databehandleren, I har aftalen med. Afklar derfor, hvordan databehandleren dokumenterer, hvad underleverandørerne gør, og hvordan jeres instrukser viderebringes. Aftalen kan beskrive, hvordan dokumentation kan fås udleveret.

Kæden bør spejle den øverste aftales punkter: instrukser, fortrolighed, behandlingssikkerhed og sletning. Underleverandørlisten er det sted, hvor I kan se, om kæden stadig matcher den behandling, aftalen beskriver.

Datatilsynet fører tilsyn med, at databeskyttelsesreglerne overholdes i Danmark. Tilsynet vejleder også i, hvordan virksomheder lever op til reglerne.

Dokumentation og kontrol: Sådan viser I, at kravene er opfyldt

Der findes færdige danske værktøjer. Dansk Industri stiller skabeloner og vejledning til rådighed om bl.a. databehandleraftaler, procesafdækning og dokumentation af databehandlingsaktiviteter. Materialet ligger bag login og er frit tilgængeligt for medlemmer. DI's materiale rummer også en kort version af forordningen, hvor de 261 sider og 99 artikler er forsøgt omsat til noget operationelt for virksomheder.

Datatilsynet offentliggjorde i starten af 2018 en skabelon til en standard-databehandleraftale. I december 2019 fik den karakter af standardkontraktbestemmelser efter artikel 28, stk. 8. EU-Kommissionen offentliggjorde den 4. juni 2021 standardkontraktbestemmelser efter artikel 28, stk. 7.

Datatilsynet anbefaler den danske skabelon, hvis parterne udelukkende hører til og opererer i Danmark. Der er flere sæt standardkontraktbestemmelser at vælge imellem. Valget er op til den dataansvarlige og databehandleren.

Hos Datatilsynet kan I bruge grundvejledningen om GDPR til begreberne og henvisningen »Dataansvarlig eller databehandler?« til rollevurderingen. Datatilsynet henviser desuden til, at brancheorganisationer typisk kan hjælpe med at besvare konkrete spørgsmål til netop din virksomheds håndtering af GDPR.

Datatilsynets materiale har bl.a. titlerne »Grundlæggende om GDPR« og »Myter om GDPR«; grundvejledningen indeholder desuden henvisningen »Dataansvarlig eller databehandler?«. Hos DI hedder de bl.a. »Persondataforordningen (GDPR) - i kort form« og »Databeskyttelsesforordningen - implementering i danske virksomheder«.

Den dokumentation, der typisk bliver efterspurgt, kan samles i et register. Det bør omfatte databehandlere, deres underleverandører, kategorier af personoplysninger og registrerede, formål, opbevaringsperiode, dataplacering og hvor aftalen med tilhørende version og dato findes. Registeret skal kunne kobles direkte til den enkelte aftale – ellers kan I ikke vise sammenhængen.

Registeret bør vise, hvordan aftalen opfylder artikel 28, stk. 3, og hvordan underleverandører er godkendt efter artikel 28, stk. 2.

Sikkerhedsforpligtelsen efter artikel 28, stk. 3, litra c, henviser til artikel 32.

Kontrollen er løbende. Aftalen bør beskrive, hvordan I kan få dokumentation for leverandørens og underleverandørernes overholdelse. Den bør revideres, når behandlingen ændrer sig: ny ydelse, nye oplysningstyper, ny underleverandør eller ændret placering af data. Et fast årligt gennemsyn af aftalerne mod den faktiske behandling er den enkleste måde at fange afvigelser.

Mulige faldgruber i danske aftaler

Uklare instrukser er en mulig faldgrube. En aftale, der blot henviser til, at leverandøren behandler »kundedata efter din instruks«, giver hverken databehandleren noget at efterleve eller tilsynet noget at vurdere. Formålet, oplysningstyperne og opgaverne bør stå konkret. Ifølge Datatilsynet er det den dataansvarlige, der vurderer, til hvilke formål der behandles, og hvor længe oplysningerne skal gemmes.

En faldgrube er at mangle artikel 28 som hjemmel. Aftalen skal være skriftlig, og den skal indeholde de obligatoriske elementer i artikel 28, stk. 3. Uden dem er aftalen ikke tilstrækkelig.

Faldgruber opstår, når aftalen kun nævner GDPR i flæng. Sikkerhedsforpligtelsen knytter sig til artikel 32.

Manglende sletterutiner er en anden mulig faldgrube. Aftalen skal koble slettepligten til de situationer, Datatilsynet opregner: når formålet ophører, når samtykke trækkes tilbage uden andet grundlag, når behandlingen er ulovlig, når lovgivning kræver sletning, og når den registrerede gør indsigelse.

Det gælder også det særlige tilfælde med informationssamfundstjenester og samtykke tilbagekaldt efter det fyldte 13. år. Uden en sådan kobling står både den dataansvarlige og databehandleren uden en handlingsregel, når oplysningerne skal væk.

Underleverandører uden aftalemæssig dækning opstår typisk, når leverandøren bruger drift, support eller analyseværktøjer, som ikke fremgår af underleverandørlisten. Konsekvensen er, at der behandles personoplysninger i et led, hvor der hverken er videreført instrukser, fortrolighed eller slettepligt. Spørg derfor konkret til dataplacering og dataflow, og hold listen opdateret.

Underleverandører uden forudgående godkendelse efter artikel 28, stk. 2, er en selvstændig faldgrube. Det gælder også, hvis betingelserne i artikel 28, stk. 2 og 4, for at gøre brug af en anden databehandler ikke er opfyldt.

Aftaler, der ikke matcher den faktiske behandling, er en fjerde faldgrube: ydelser er ændret, systemer er skiftet, eller opbevaringsperioden i aftalen stemmer ikke med driften. Hertil kommer forventningen om, at nogen har godkendt ordningen.

En femte mulig faldgrube er en aftale uden en fast rutine for henvendelser fra registrerede. Står der intet om, hvordan en henvendelse fra en registreret håndteres, må I aftale det undervejs i stedet for at have en fast rutine.

Manglende revisions- eller inspektionsret er en faldgrube. Artikel 28, stk. 3, kræver adgang til at føre kontrol. Aftalen bør derfor give den dataansvarlige ret til revision eller inspektion.

Uden sletning eller tilbagelevering ved aftalens ophør står den dataansvarlige uden handlingsregel. Artikel 28, stk. 3, kræver, at aftalen fastsætter, hvordan data håndteres ved ophør.

Datatilsynet kalder det en myte, at man er godkendt af tilsynet; i udgangspunktet er det den enkelte dataansvarliges opgave at leve op til GDPR. I værste fald kan manglende dokumentation udløse store bøder, som DI formulerer det. Dokumentationen er derfor ikke noget, man kan henvise til en anden part for at få.