Databehandleravtale og GDPR: hva små bedrifter må ha på plass

De fleste bedrifter bruker eksterne leverandører som på en eller annen måte håndterer personopplysninger — skytjenester, e-postmarkedsføring, regnskapssystemer, HR-verktøy eller kundeservice-plattformer. Så snart en leverandør behandler personopplysninger på vegne av virksomheten din, er dere pålagt å ha en databehandleravtale på plass. Dette gjelder uavhengig av bedriftens størrelse.

Behandlingsansvarlig og databehandler

Behandlingsansvarlig er virksomheten som bestemmer formålet med og midlene for behandlingen av personopplysninger — typisk din egen bedrift når dere samler inn kunde- eller ansattopplysninger. Databehandler er den som behandler opplysningene på vegne av deg, etter dine instrukser, uten selv å bestemme formålet. Et regnskapsbyrå som fører lønn for deg er normalt databehandler; en skytjenesteleverandør som lagrer kundedataene dine er også databehandler.

Hva skal databehandleravtalen inneholde?

• Gjenstand, varighet, art og formål med behandlingen, samt hvilke typer personopplysninger og kategorier registrerte det gjelder.
• Instruks om at databehandler kun behandler opplysninger etter dokumenterte instrukser fra behandlingsansvarlig.
• Krav om konfidensialitet for personer som har tilgang til opplysningene.
• Krav til tekniske og organisatoriske sikkerhetstiltak.
• Vilkår for bruk av underdatabehandlere, inkludert krav om forhåndsgodkjenning.
• Bistandsplikt til behandlingsansvarlig ved forespørsler fra registrerte og ved vurdering av personvernkonsekvenser.
• Varslingsplikt ved avvik (datainnbrudd eller lignende hendelser).
• Plikt til å slette eller returnere personopplysninger når avtalen avsluttes.
• Adgang for behandlingsansvarlig til å gjennomføre eller få gjennomført revisjon.

Underdatabehandlere

Bruker databehandleren igjen andre leverandører til deler av behandlingen — for eksempel en skytjeneste som drifter serverne — er dette underdatabehandlere. Databehandleren kan bare bruke underdatabehandlere med generell eller spesifikk skriftlig godkjenning fra behandlingsansvarlig, og må sørge for at underdatabehandleren er bundet av de samme forpliktelsene.

Overføring av personopplysninger utenfor EØS

Mange skytjenester og programvareleverandører har servere eller support utenfor EØS, ofte i USA. Slik overføring krever et eget rettslig grunnlag, for eksempel EUs standardkontraktsklausuler (SCC), i tillegg til at det gjøres en vurdering av beskyttelsesnivået i mottakerlandet. Dette er et område Datatilsynet har hatt økt fokus på, og bedrifter bør sjekke hvor leverandørens underleverandører faktisk lagrer og behandler data.

Protokoll over behandlingsaktiviteter

De fleste virksomheter plikter å føre en protokoll over sine behandlingsaktiviteter, som viser hvilke personopplysninger som behandles, til hvilket formål, hvem som har tilgang, og hvor lenge opplysningene lagres. Denne protokollen er nyttig internt og kan kreves fremvist ved tilsyn fra Datatilsynet.

Avviksvarsling

Oppstår det et brudd på personopplysningssikkerheten hos databehandleren — for eksempel et datainnbrudd — skal databehandleren varsle behandlingsansvarlig uten ugrunnet opphold. Behandlingsansvarlig har deretter selv plikt til å vurdere om avviket skal meldes til Datatilsynet, normalt innen 72 timer, og i noen tilfeller også varsle de registrerte direkte.

Praktiske steg for små bedrifter

1. Kartlegg hvilke leverandører som behandler personopplysninger på vegne av bedriften.
2. Sjekk om det allerede finnes en databehandleravtale, og om den faktisk er signert — mange leverandører har standardavtaler som må aksepteres aktivt.
3. Vurder hvor dataene lagres, og om det er overføring utenfor EØS som må dekkes særskilt.
4. Før en enkel protokoll over hvilke opplysninger som behandles og til hvilket formål.
5. Etabler rutiner for hva bedriften gjør ved mistanke om avvik eller datainnbrudd.

Manglende databehandleravtale er ett av de vanligste funnene ved tilsyn — det er en enkel ting å rette opp, men lett å glemme.