Databehandleravtale: vurder roller før dere signerer
En signert standardavtale er ikke nok. Kartlegg hvem som bestemmer formålet, hvilke data leverandøren behandler og hvordan avtalen virker i drift og ved avslutning.
Vymo · · 10 min lesing
En databehandleravtale er nødvendig når en leverandør behandler personopplysninger på vegne av virksomheten. Men ikke alle leverandører som mottar personopplysninger er databehandlere, og en signert standardavtale gjør ikke selve behandlingen lovlig eller sikker.
Start derfor med dataflyten og rollen. Deretter kan dere kontrollere om avtalen etter personvernforordningen artikkel 28 beskriver den faktiske tjenesten, underleverandørene, sikkerheten og hva som skjer ved en hendelse eller oppsigelse.
Denne guiden er generell informasjon, ikke en juridisk vurdering av en bestemt tjeneste eller avtale.
Kort arbeidsflyt
- Kartlegg hvilke personopplysninger nettstedet og leverandøren behandler.
- Bestem hvem som fastsetter formål og avgjørende midler.
- Avklar om parten er databehandler, selvstendig behandlingsansvarlig eller felles behandlingsansvarlig.
- Kontroller behandlingsgrunnlag og nødvendighet uavhengig av avtalen.
- Sammenlign artikkel 28-avtalen med faktisk dataflyt.
- Undersøk underdatabehandlere og overføringer utenfor EØS.
- Test sikkerhet, avvik, rettigheter og sletting i praksis.
- Gjenta vurderingen når tjenesten eller leverandørlisten endres.
Første spørsmål: hvilken rolle har leverandøren?
Den behandlingsansvarlige bestemmer hvorfor personopplysningene behandles og de avgjørende rammene. En databehandler behandler opplysningene på vegne av og etter dokumenterte instrukser fra den behandlingsansvarlige.
En leverandør er ikke automatisk databehandler bare fordi den mottar data. Den kan:
- behandle opplysninger på virksomhetens vegne
- ha egne lovpålagte eller kommersielle formål og være selvstendig behandlingsansvarlig
- bestemme formål og midler sammen med virksomheten og være felles behandlingsansvarlig
- ha flere roller for forskjellige deler av samme tjeneste
Datatilsynets rolleveiledning sier at det må gjøres en konkret vurdering av den faktiske behandlingen.
Beslutningstest for ett behandlingsformål
| Spørsmål | Taler for databehandler | Taler for eget eller felles ansvar |
|---|---|---|
| Hvem bestemmer hvorfor data brukes? | Kunden | Leverandøren alene eller sammen med kunden |
| Kan leverandøren bruke data til egne formål? | Nei, bare etter instruks | Ja |
| Kan kunden kreve sletting eller retur? | Ja, innenfor instruksen | Ikke fullt ut fordi leverandøren har eget grunnlag |
| Hvem bestemmer de avgjørende midlene? | Kunden setter rammene | Leverandøren tar selvstendige avgjørelser om formålet |
| Hva forventer den registrerte? | Leverandøren opptrer som kundens hjelper | Personen har et eget forhold til begge parter |
Vurder hver behandling, ikke bare produktnavnet. En leverandør kan være databehandler for lagring på kundens vegne og selvstendig behandlingsansvarlig for fakturering eller misbruksforebygging.
Vanlige nettstedstjenester: startpunkt, ikke fasit
| Tjeneste | Mulig rolle | Hva som må undersøkes |
|---|---|---|
| Webhotell | Ofte databehandler for kundens innhold, logger og databaser | Tilgang, backup, sikkerhet, underleverandører og egne formål |
| Skjematjeneste | Ofte databehandler for innsendinger | Lagring, varsling, spamkontroll og sletting |
| E-postleverandør | Ofte databehandler for postkasser | Metadata, sikkerhet, backup og administratortilgang |
| Analyseverktøy | Rollen kan være sammensatt | Egen produktbruk, deling, samtykke og overføring |
| Betalingsleverandør | Kan ha selvstendig ansvar for deler | Lovpålagte plikter, svindelkontroll og kundens instruksjonsrett |
| CRM | Ofte databehandler for kunderegister | Egen AI-trening, integrasjoner og eksport |
| Annonseplattform | Ofte selvstendig eller felles ansvar for enkelte formål | Profilering, matching og plattformens egne formål |
| Regnskapsfører eller juridisk rådgiver | Kan være selvstendig behandlingsansvarlig | Faglige plikter og selvstendige vurderinger |
Ikke bruk tabellen som juridisk konklusjon. Les avtalen og se hva tjenesten faktisk gjør med den konkrete dataflyten.
En DPA erstatter ikke behandlingsgrunnlaget
Databehandleravtalen regulerer forholdet mellom kunden og leverandøren. Den gir ikke virksomheten tillatelse til å samle inn eller bruke personopplysninger den ellers mangler grunnlag for.
Før avtalen signeres, må virksomheten fortsatt kunne forklare:
- formålet med behandlingen
- behandlingsgrunnlaget
- hvilke opplysninger som er nødvendige
- hvem opplysningene gjelder
- lagringstid
- informasjonen den registrerte får
- hvordan rettigheter ivaretas
- hvorfor valgt leverandør og sikkerhetsnivå er passende
Begynn med den praktiske GDPR-sjekklisten for nettsteder hvis dataflyt, behandlingsgrunnlag og lagringstid ikke allerede er kartlagt.
Hva artikkel 28-avtalen må beskrive
Datatilsynets veiledning om innholdet bygger på artikkel 28 nr. 3. Avtalen må blant annet beskrive behandlingen og partenes rettigheter og plikter.
Kontroller at disse punktene er konkrete:
| Område | Avtalen bør svare på |
|---|---|
| Tema og varighet | Hvilken tjeneste, fra når og til når? |
| Art og formål | Hva gjør leverandøren med dataene, og hvorfor på kundens vegne? |
| Datatyper | Navn, kontaktdata, IP-adresse, innhold, logger eller særlige kategorier? |
| Registrerte | Kunder, ansatte, søkere, medlemmer eller nettstedbesøkende? |
| Instrukser | Hvor finnes de, og hvordan endres de? |
| Fortrolighet | Hvem kan få tilgang, og hvilke plikter gjelder? |
| Sikkerhet | Hvilke tekniske og organisatoriske tiltak gjelder tjenesten? |
| Underdatabehandlere | Hvem brukes, hvor og hvordan varsles endringer? |
| Registrertes rettigheter | Hvordan og hvor raskt bistår leverandøren? |
| Avvik | Når, hvordan og med hvilke opplysninger varsles kunden? |
| Sletting eller retur | Hvilke data, formater, frister, backup og bevis? |
| Kontroll | Hvilken dokumentasjon og revisjonsmulighet får kunden? |
En avtale som bare gjentar lovteksten uten å beskrive tjenesten, gir dårligere operativ hjelp når noe faktisk må gjøres.
Instruksen må være mulig å følge
Den behandlingsansvarlige skal gi dokumenterte instrukser. I en standard skytjeneste består de ofte av:
- hovedavtalen
- databehandleravtalen
- valgene i kontrollpanelet
- konfigurasjonen kunden gjør
- supporthenvendelser og skriftlige endringsordre
Avklar hva som skjer når kunden ber om en handling produktet ikke støtter. Hvis leverandøren ikke kan slette én registrert uten å slette hele databasen, er dette en viktig egenskap ved tjenesten – ikke noe en generell avtaletekst løser.
Databehandleren skal også underrette kunden dersom den mener en instruks strider mot personvernreglene. Avtalen bør beskrive kontaktvei og hva som skjer mens spørsmålet avklares.
Sikkerhetsvedlegget må passe dataene
«Bransjestandard sikkerhet» er for vagt alene. Et sikkerhetsvedlegg bør gjøre det mulig å vurdere risiko og ansvar.
Se etter:
- tilgangsstyring og administratorroller
- tofaktor for kritiske kontoer
- kryptering under overføring og der det er relevant ved lagring
- logging og overvåking
- sårbarhets- og oppdateringsrutiner
- backup, gjenoppretting og testfrekvens
- fysisk og organisatorisk sikkerhet
- separasjon mellom kunder
- sletting og mediehåndtering
- hendelseshåndtering og kontaktpunkter
Tiltakene må vurderes mot opplysningene og konsekvensene. Et enkelt nyhetsbrev og et system med helseopplysninger krever ikke nødvendigvis samme løsning.
Sertifiseringer og revisjonsrapporter kan være nyttige bevis, men kontroller om de dekker den aktuelle tjenesten, lokasjonen og perioden.
Underdatabehandlere må være sporbare
En web- eller skytjeneste kan bruke datasenter, e-postutsending, support, feilsporing og sikkerhetsleverandører. Disse kan være underdatabehandlere når de behandler data på vegne av den opprinnelige databehandleren.
Kontroller:
- oppdatert liste med juridisk navn, rolle og behandlingssted
- om godkjenningen er spesifikk eller generell
- hvordan kunden varsles før en ny underdatabehandler tas i bruk
- hvor lang innsigelsesfrist kunden får
- hva som skjer hvis kunden har en saklig innsigelse
- at underdatabehandleren får minst tilsvarende personvernforpliktelser
- hvem hovedleverandøren svarer for ved feil hos underleverandøren
En lenke til en leverandørliste er bare nyttig hvis bedriften følger med på endringer og har en praktisk reaksjonsmulighet.
EØS-lagring løser ikke alltid overføringsspørsmålet
Kartlegg både hvor data lagres og hvorfra de kan åpnes. Fjernsupport, drift eller underleverandører utenfor EØS kan være relevant selv når primærserveren står i Europa.
Datatilsynets veiledning om overføring ut av EØS forklarer at et gyldig overføringsgrunnlag og øvrige krav må vurderes. Avhengig av landet og ordningen kan dette blant annet innebære:
- beslutning om tilstrekkelig beskyttelsesnivå
- standard personvernbestemmelser
- vurdering av lovgivning og faktisk praksis
- supplerende tekniske eller organisatoriske tiltak
En databehandleravtale etter artikkel 28 og standardbestemmelser for tredjeland er forskjellige juridiske funksjoner. Én signatur dekker ikke automatisk begge vurderingene.
Avviksklausulen må gi tid til å handle
Databehandleren skal varsle den behandlingsansvarlige uten ugrunnet opphold når den blir kjent med et brudd på personopplysningssikkerheten. Kunden trenger nok informasjon til å vurdere risiko, melding til Datatilsynet og informasjon til berørte.
Avklar:
- døgnbemannet eller praktisk varslingskanal
- første varsel selv om alle fakta ikke er kjent
- hvilke systemer, perioder og datatyper som er berørt
- antall og kategorier av registrerte når kjent
- sannsynlige konsekvenser
- tiltak som er iverksatt eller anbefalt
- løpende oppdateringer og sluttrapport
- bevaring av relevante logger og bevis
Ikke godta en klausul der leverandøren kan vente til en intern granskning er ferdig før kunden informeres.
Rettigheter krever en faktisk arbeidsflyt
Virksomheten må kunne håndtere innsyn, retting, sletting, begrensning, protest og dataportabilitet når vilkårene gjelder. Databehandleren skal bistå så langt det er mulig.
Test med leverandøren:
- Hvordan finner vi alle data om én person?
- Kan data eksporteres i forståelig format?
- Kan feil rettes uten å skade integriteten til andre registre?
- Hvordan håndteres data i backup?
- Hvor lang tid tar bistanden?
- Koster ekstraarbeidet noe?
- Hvem dokumenterer at forespørselen er ferdig?
En portal med en «slett bruker»-knapp er ikke nødvendigvis nok hvis logger, integrasjoner og sikkerhetskopier fortsetter å inneholde data.
Oppsigelse: sletting, retur og backup
Avtalen må gi den behandlingsansvarlige valg mellom sletting og tilbakelevering når tjenesten avsluttes, med mindre lov krever fortsatt lagring.
Avklar før oppstart:
- hvilket eksportformat som tilbys
- hvor lenge eksport er tilgjengelig
- når produksjonsdata slettes
- hvordan sletting i backup skjer over tid
- om konto- og sikkerhetslogger beholdes til egne formål
- hvordan underdatabehandlere følger slettingen
- hvilken bekreftelse kunden får
- kostnad for eksport eller bistand
Test eksport mens avtalen fortsatt er aktiv. Leverandørbytte er feil tidspunkt å oppdage at data bare kan hentes i et uleselig eller ufullstendig format.
Revisjon betyr mer enn rett til å spørre
Databehandleren skal gjøre nødvendig informasjon tilgjengelig og bidra til revisjoner. I standardtjenester kan dette skje gjennom:
- sertifikater
- uavhengige revisjonsrapporter
- sikkerhetsdokumentasjon
- spørreskjema
- kunderevisjon under avtalte rammer
Vurder om materialet er tilstrekkelig for risikoen. Avklar frekvens, konfidensialitet, kostnader, varslingstid og mulighet for ekstra kontroll etter et alvorlig avvik.
Innkjøpssjekk før signering
| Kontroll | Ferdig |
|---|---|
| Dataflyt og formål er kartlagt | ☐ |
| Rollen er vurdert per behandling | ☐ |
| Behandlingsgrunnlag og nødvendighet er dokumentert | ☐ |
| DPA beskriver faktiske data og registrerte | ☐ |
| Instrukser og produktbegrensninger er forstått | ☐ |
| Sikkerhetstiltak passer risikoen | ☐ |
| Underdatabehandlerlisten er gjennomgått | ☐ |
| Behandlingssteder og fjernaksess er kartlagt | ☐ |
| Overføringsgrunnlag og tilleggstiltak er vurdert | ☐ |
| Avvikskanal og varsling er testet | ☐ |
| Rettighetsforespørsler kan gjennomføres | ☐ |
| Eksport, sletting og backup er avklart | ☐ |
| Revisjonsbevis og endringsvarsler har ansvarlige | ☐ |
Årlig kontroll
Minst ved større endringer, og gjerne som fast kontroll, bør virksomheten sjekke:
- nye funksjoner og formål
- nye datatyper
- nye underdatabehandlere
- endrede behandlingssteder
- endrede sikkerhetstiltak
- hendelser og oppfølging
- avvik mellom avtale og produkt
- tjenester som ikke lenger brukes
En ubrukt integrasjon kan fortsatt ha tilgang. Deaktiver og avslutt den, og dokumenter sletting i stedet for bare å fjerne knappen fra nettstedet.
Domene, hosting og Vymo
Et domeneabonnement, DNS, hosting, nettside og e-post er separate tjenester og kan gi leverandører forskjellige roller.
En registrar behandler blant annet opplysninger som er nødvendige for domeneabonnementet og kan ha egne forpliktelser. En hostingleverandør kan være databehandler for innhold, logger, skjemadata eller backup den behandler på kundens vegne. Rollen må vurderes for den konkrete tjenesten og dataflyten.
Før en Vymo-løsning brukes til personopplysninger, må kunden avklare hvilke tjenester som inngår, hvilke opplysninger de skal behandle, aktuelle leverandører og nødvendige avtaler. Ikke anta at en domenebestilling alene dekker nettsidens skjema, e-post eller tredjepartsverktøy.
Vymos gratis nettside er én enkel offentlig bedriftsside. Booking, nettbutikk, innlogging, særlige personopplysninger og spesialintegrasjoner er ikke inkludert. Begrens datainnsamlingen til det avtalte behovet og se hele omfanget før innsending .
Vanlige spørsmål
Trenger alle webhotell en databehandleravtale? Når leverandøren behandler personopplysninger på kundens vegne, skal forholdet reguleres etter artikkel 28. Vurder faktisk innhold, logger, tilgang og tjeneste – ikke bare produktetiketten.
Er en betalingsleverandør alltid databehandler? Ikke nødvendigvis. En betalingsleverandør kan ha egne lovpålagte formål og være selvstendig behandlingsansvarlig for deler av behandlingen.
Holder det å akseptere leverandørens standard-DPA? Bare hvis avtalen dekker den faktiske behandlingen og virksomheten ellers har vurdert lovlighet, sikkerhet, leverandør og overføringer.
Må underdatabehandlere stå med navn? Virksomheten trenger en oppdatert og forståelig oversikt som gjør det mulig å vurdere hvem som behandler data, hvor og til hvilket formål.
Kan data ligge i EØS og likevel bli overført ut? Ja, for eksempel hvis en underleverandør eller supportfunksjon utenfor EØS får tilgang. Kartlegg lagring og tilgang.
Er en DPA det samme som personvernerklæring? Nei. DPA regulerer partene i databehandlerforholdet. Personvernerklæringen informerer de registrerte om virksomhetens behandling.
Neste steg
Velg én tjeneste og tegn dataflyten fra brukerens nettleser til lagring, e-post, backup og underleverandører. Bestem rollen for hvert formål, og sammenlign deretter avtalen med den faktiske behandlingen. Start med den mest risikofylte dataflyten, ikke den korteste avtalen.
Les også GDPR-guiden for hele nettstedet , hvordan cookies og sporing testes og hvordan leverandører vurderes ved valg av norsk eller utenlandsk hosting .
Har bedriften funnet riktig navn?
Sjekk om .no-domenet er ledig. Et .no-domene koster 199,- per år, også ved fornyelse.