Databehandleravtale (DBA)

Databehandleravtaler kan virke som en formalitet – noe man bare legger ved som vedlegg til en større kontrakt. Men i praksis er dette et juridisk krav som kan få alvorlige konsekvenser hvis det ikke er på plass. Og det handler ikke bare om å “ha en avtale”. Den må være konkret, tilpasset og faktisk brukes.

Mange bedrifter tror de har kontroll. Helt til Datatilsynet banker på døra – eller til et datainnbrudd gjør at man må begynne å forklare seg. Denne artikkelen gir deg det du trenger for å forstå hva en databehandleravtale egentlig er, når du trenger en, og hvordan du sørger for at den faktisk holder mål.

Hva er en databehandleravtale?

En databehandleravtale – gjerne forkortet DBA – er en skriftlig avtale mellom en behandlingsansvarlig og en databehandler. Det høres teknisk ut, men i praksis er det ganske enkelt:

Den behandlingsansvarlige bestemmer hvorfor og hvordan personopplysninger skal behandles.
Databehandleren gjør jobben – på vegne av den ansvarlige.

For eksempel: Hvis du bruker et regnskapsbyrå som håndterer lønn for dine ansatte, så er du behandlingsansvarlig – og byrået er databehandler. Da må dere ha en databehandleravtale.

Det er ikke et valg. Det er et krav etter GDPR.

Når må du ha en DBA – og med hvem?

Kort sagt: Hver gang du lar en ekstern aktør behandle personopplysninger på dine vegne.

Eksempler på vanlige databehandlere:

Regnskapsførere og lønnssystemer
Skylagringstjenester (Google Drive, Dropbox, AWS, m.fl.)
IT-driftsleverandører
Verktøy for e-postmarkedsføring
HR-systemer
Kundesystemer (CRM)

Mange glemmer at også norske konsulenter, utviklere og mindre leverandører kan være databehandlere – og må ha en avtale. Og du har ansvar for at avtalen er på plass. Ikke de.

Les også: Personvernkonsekvensvurdering (DPIA): Når må du gjøre det – og hvordan gjør du det riktig?

Hva må en databehandleravtale inneholde?

Her kommer vi til det viktigste – og der mange feiler. En databehandleravtale må være mer enn en standardmal fra nettet.

GDPR artikkel 28 stiller konkrete krav. Avtalen må blant annet inneholde:

Hvilke typer personopplysninger som behandles
Formålet med behandlingen
Hvor lenge dataene lagres
Hvilke sikkerhetstiltak databehandleren har
Om det brukes underleverandører – og i så fall, hvordan det håndteres
Hva som skjer når avtalen avsluttes (f.eks. sletting)

Dette er ikke pynt. Det er kjernen i GDPRs krav til ansvarlig databehandling.

Les også: Personvernombud (DPO): Når må du ha det – og hva innebærer rollen?

Vanlige feil – og hvorfor de er alvorlige

Vi ser ofte at bedrifter enten:

Ikke har en avtale i det hele tatt, eller
Har en generisk mal som ikke er tilpasset virksomheten.

Begge deler kan få konsekvenser.

Et konkret eksempel: En kunde brukte en amerikansk e-postleverandør uten å kontrollere hvor dataene ble lagret. De hadde en avtale, men den sa ingenting om overføring til tredjeland. Da Datatilsynet ba om dokumentasjon, ble det fort klart at avtalen ikke dekket det den skulle. Resultatet ble en advarsel – og pålegg om full revisjon.

Behandlingsansvarlig vs. databehandler: Hvordan vet du hvem du er?

Dette er et punkt mange sliter med, og det er ikke alltid svart-hvitt.

En tommelfingerregel er: Hvis du bestemmer formålet med behandlingen (altså hvorfor dataene behandles), da er du behandlingsansvarlig. Hvis du bare utfører behandlingen på instruks, er du databehandler.

Eksempler:

Du kjøper et HR-system: Leverandøren er databehandler.
Du bruker en konsulent til å analysere kundedata og gi råd: Konsulenten kan være behandlingsansvarlig selv, eller databehandler – det kommer an på hvem som styrer formålet.

Når vi bistår klienter, går vi ofte gjennom konkrete eksempler for å rydde i rollene. Det er lurt. Feil rolleforståelse kan bety feil ansvar – og store problemer.

Hvordan utformer du en god databehandleravtale?

Start med en mal – men gjør den aldri ferdig før du har vurdert:

Hva slags personopplysninger behandles?
Hvor behandles de – og av hvem?
Brukes det underleverandører?
Har du kontroll på sletting, tilgangsstyring og logging?
Er sikkerheten dokumentert?

Og ja – det bør stå navn og dato på avtalen. Og den bør signeres, ikke bare ligge i en fellesmappe som “noe vi sikkert har”.

Hva hvis Datatilsynet kommer?

Tilsyn fra Datatilsynet er ikke uvanlig – og databehandleravtaler er noe de ofte ser på.

De vil gjerne se:

Har dere avtaler med alle relevante aktører?
Er innholdet i tråd med kravene?
Har dere faktisk kontroll – eller bare formaliteter?

Vi har bistått virksomheter både før, under og etter tilsyn. I noen tilfeller har vi unngått sanksjoner nettopp fordi vi kunne vise at klienten tok tak i DBA-arbeidet i tide.