Knapt noen virksomhet i Norge driver uten å bruke eksterne leverandører som håndterer personopplysninger. Regnskapsføreren kjører lønn. CRM-systemet lagrer kundeopplysninger. Markedsføringsbyrået sender nyhetsbrev på vegne av deg. IT-leverandøren drifter serverne.
I alle disse situasjonene krever GDPR at du har en skriftlig databehandleravtale på plass. Ikke bare fordi det er god praksis, men fordi manglende avtale i seg selv er et lovbrudd, uavhengig av om noe faktisk har gått galt.
Mange virksomheter oppdager dette når Datatilsynet banker på døren, eller når en ny leverandør sender over sin standard databehandleravtale og de ikke vet hva de sier ja til.
Hva er en databehandleravtale?
En databehandleravtale er en skriftlig avtale som regulerer hvordan en ekstern leverandør kan behandle personopplysninger på vegne av din virksomhet.
To roller er sentrale. Den behandlingsansvarlige er virksomheten som bestemmer formålet med behandlingen og hvilke hjelpemidler som brukes. Det er deg, altså den som eier kundeforholdet og bestemmer hva dataene skal brukes til. Databehandleren er leverandøren som utfører oppgaven på vegne av den behandlingsansvarlige, etter instrukser fra deg.
Et regnskapsbyrå som kjører lønn for deg er en databehandler. De behandler ansattes lønnsopplysninger på vegne av deg, etter dine instrukser. Du er fortsatt behandlingsansvarlig. Det er du som svarer overfor de ansatte og overfor Datatilsynet dersom noe går galt.
Det er alltid den behandlingsansvarlige som har ansvar for at databehandleravtalen finnes og er lovlig. Du kan ikke overlate dette ansvaret til leverandøren.
Vi i Judicia bistår virksomheter i Møre og Romsdal og nasjonalt med GDPR-dokumentasjon og databehandleravtaler. Les mer om personvern.
Når er databehandleravtale påkrevd?
Du trenger databehandleravtale hver gang en ekstern leverandør behandler personopplysninger på vegne av din virksomhet. Her er de vanligste situasjonene:
Regnskapskontor eller lønnsbyrå som behandler ansattes lønn, skatt og personalopplysninger. Skytjenester som lagrer kundedata, e-post eller dokumenter (Microsoft 365, Google Workspace, Dropbox). CRM-systemer som HubSpot, Salesforce eller Pipedrive der kundeopplysninger lagres. E-postmarkedsføring via Mailchimp, Klaviyo eller lignende plattformer. IT-leverandører med tilgang til systemer som inneholder personopplysninger. Bemanningsbyråer eller konsulenter med tilgang til persondata. Nettsidetjenester med analyseverktøy som behandler brukerdata.
Dersom leverandøren bare leverer infrastruktur uten tilgang til selve personopplysningene, er de normalt ikke en databehandler. En internettleverandør som bare frakter datapakker uten å se innholdet, er et eksempel.
Hva må avtalen inneholde?
GDPR artikkel 28 stiller minstekrav til hva en databehandleravtale skal inneholde. Alle punktene nedenfor er obligatoriske.
1. Behandlingens art, formål og varighet. Hva databehandleren skal gjøre, hvorfor og hvor lenge avtalen varer.
2. Type personopplysninger og kategorier av registrerte. Hvilke opplysninger behandles? Navn og e-post? Lønn og bankkonto? Helseopplysninger? Kategorien av opplysninger avgjør risikonivå og krav til sikkerhet.
3. Instrukser fra behandlingsansvarlig. Databehandleren kan bare behandle personopplysninger etter dokumenterte instrukser fra deg. Avvik fra instruksene er ikke tillatt uten særskilt rettslig grunnlag.
4. Taushetsplikt. Alle autoriserte personer hos databehandleren som har tilgang til personopplysningene skal ha taushetsplikt.
5. Sikkerhetstiltak. Databehandleren plikter å gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak etter GDPR artikkel 32, herunder kryptering, tilgangskontroll og beredskapsplaner.
6. Bruk av underdatabehandlere. Avtalen skal regulere om og på hvilke vilkår databehandleren kan engasjere underleverandører som også behandler personopplysninger.
7. Bistand til den behandlingsansvarlige. Databehandleren plikter å bistå deg med å svare på innsynsbegjæringer fra registrerte, håndtere databrudd og gjennomføre personvernkonsekvensvurderinger.
8. Sletting eller tilbakelevering ved avslutning. Når avtalen opphører skal databehandleren enten slette eller returnere alle personopplysninger, avhengig av hva som er avtalt.
Underdatabehandlere
Mange leverandører bruker egne underleverandører. Regnskapsbyrået kjører lønnssystemet hos en skyleverandør. CRM-leverandøren bruker en ekstern e-postplattform. Disse underleverandørene kalles underdatabehandlere.
Databehandleravtalen skal regulere om databehandleren har lov til å engasjere underdatabehandlere, og på hvilke vilkår. Det finnes to modeller. Den ene er spesifikk godkjenning, der du godkjenner en navngitt liste over underdatabehandlere og endringer krever samtykke fra deg. Den andre er generell godkjenning, der databehandleren fritt kan bytte underleverandører, men plikter å informere deg og gi deg mulighet til å protestere.
Du har som behandlingsansvarlig et ansvar for å sikre at underdatabehandlerens behandling oppfyller GDPR-kravene, selv om du ikke selv har avtale med dem.
Overføring av data utenfor EØS
Særskilte regler gjelder dersom personopplysninger overføres til, eller behandles av servere i, land utenfor EØS. USA er det vanligste tilfellet. Amazon Web Services, Google og Microsoft har servere globalt, og mange tjenester lagrer data i USA.
Etter EU-domstolens Schrems II-dom er overføringer til USA uten tilstrekkelig grunnlag ikke tillatt. For overføringer til USA kan EU-US Data Privacy Framework benyttes som grunnlag for de leverandørene som er sertifisert under rammeverket. Standard contractual clauses (SCCs) er et alternativt grunnlag.
Databehandleravtalen bør eksplisitt regulere hvor opplysningene lagres og behandles, og hvilke overføringsmekanismer som benyttes. Mange standardavtaler fra store amerikanske skyleverandører dekker dette, men det er ditt ansvar å kontrollere at dekningen er tilstrekkelig for dine behandlinger. Les mer om personvernkonsekvensvurdering (DPIA), som er påkrevd ved høyrisiko overføringer.
Hva skjer uten databehandleravtale?
Manglende databehandleravtale er et direkte brudd på GDPR artikkel 28. Det er ikke et brudd som krever at noe faktisk har gått galt.
Datatilsynet kan ilegge overtredelsesgebyr for manglende databehandleravtale med en maksimumsramme på 10 millioner euro eller to prosent av global årsomsetning, der det høyeste beløpet legges til grunn. For overføring av personopplysninger uten adekvat grunnlag til tredjeland er maksimalgebyret 20 millioner euro eller fire prosent av global årsomsetning.
I tillegg til bøter kan Datatilsynet pålegge stans av behandlingen. For virksomheter der den aktuelle leverandøren er kritisk infrastruktur, kan en pålagt stans få alvorlige driftskonsekvenser.
Manglende avtale kan dessuten gjøre deg ansvarlig for leverandørens feil. Har leverandøren et databrudd og du mangler databehandleravtale, er du langt mer eksponert enn om avtalen er på plass. Les mer om databrudd og personvernbrudd.
Bruk av standardmaler
Datatilsynet har publisert en mal for databehandleravtale som kan brukes som utgangspunkt. Den dekker minstekravene i GDPR artikkel 28 og er gjennomgått av personvernmyndighetene.
Malen er imidlertid et utgangspunkt, ikke en ferdig løsning. For å fungere i praksis må den tilpasses med konkret informasjon om behandlingens art, hvilke personopplysninger som behandles, hvilke kategorier registrerte det gjelder og hvilke sikkerhetstiltak som er på plass. En generisk mal uten tilpasning gir svakere juridisk beskyttelse enn en skreddersydd avtale.
Mange leverandører sender sine egne standardavtaler. Disse er skrevet for å beskytte leverandørens interesser. Les dem nøye, og ta kontakt med advokat dersom du er usikker på hva du sier ja til. Les mer om personvern i arbeidslivet dersom avtalen gjelder behandling av ansattopplysninger.
Når bør du ta kontakt med advokat?
Ta kontakt dersom du er usikker på om du trenger databehandleravtale med en konkret leverandør, dersom en leverandør sender deg en avtale du ikke fullt ut forstår, dersom du bruker leverandører med servere utenfor EØS og vil sikre at overføringen har tilstrekkelig grunnlag, og dersom du vil gjennomgå eksisterende avtaler for å sikre at de oppfyller dagens GDPR-krav.
Ofte stilte spørsmål om databehandleravtaler
Behandlingsansvarlig er virksomheten som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som brukes. Databehandleren er en ekstern leverandør som behandler opplysningene på vegne av den behandlingsansvarlige, etter instrukser fra den ansvarlige. Det er behandlingsansvarlig som har det overordnede ansvaret overfor de registrerte og overfor Datatilsynet, selv om en databehandler utfører oppgaven.
Nei, bare med leverandører som faktisk behandler personopplysninger på vegne av din virksomhet. En advokat, revisor eller konsulent som opptrer på vegne av sin profesjonelle rolle med egne forpliktelser etter lov, er normalt en selvstendig behandlingsansvarlig, ikke en databehandler. En leverandør som bare leverer infrastruktur uten tilgang til personopplysninger, trenger du heller ikke databehandleravtale med.
Da bør du vurdere nøye om du kan fortsette å bruke leverandøren. En leverandør som nekter å signere en databehandleravtale, oppfyller ikke GDPR-kravene, og du som behandlingsansvarlig er ansvarlig for at lovens krav er ivaretatt. I praksis er de fleste seriøse leverandører innstilt på å signere, gjerne med egne standardavtaler.
Ja, som utgangspunkt. Datatilsynets mal dekker minstekravene i GDPR artikkel 28 og er et godt startpunkt. Men den må tilpasses med konkret informasjon om din behandling. En generisk, utfylt mal gir svakere beskyttelse enn en skreddersydd avtale, særlig ved komplekse behandlinger, sensitive opplysninger eller overføringer utenfor EØS.
Har du leverandører som behandler personopplysninger på vegne av deg, og er usikker på om avtalene er i orden? Ta kontakt med Judicia for en uforpliktende samtale.