Sådan vurderer du leverandørens databehandleraftale og underleverandører

Formål: hvad du reelt vurderer – og hvorfor rollen kommer først

Ifølge Datatilsynets rollefordeling er den dataansvarlige den, der bestemmer hvorfor (formålet) og hvordan (hjælpemidlerne) personoplysninger behandles. Databehandleren behandler derimod personoplysninger på vegne af den dataansvarlige – efter dennes instruks. Rollerne har forskellige krav. Er parterne i tvivl om, hvem der skal overholde reglerne, risikerer man, at ingen tager ansvar, eller at en part påtager sig ansvar, den ikke har. Afklar derfor rollerne, før behandlingen begynder.

En leverandøraftale er ikke automatisk en databehandlerkonstruktion. Det afhænger af ydelsen: Aftalen skal først og fremmest handle om behandling af personoplysninger – indsamling, opbevaring, sletning mv. – og ikke fx være en håndværksydelse. Desuden skal den ene part handle efter anvisninger fra den anden. Det illustrerer Datatilsynet med en fitnesskæde, der bruger et system ejet og administreret af en webleverandør. Før du vurderer aftaleteksten, må du derfor fastslå, at leverancen faktisk indebærer behandling af personoplysninger på dine vegne.

Ifølge Datatilsynet opfylder du ikke kravet om ansvarlighed alene ved at indgå en databehandleraftale. Vurderingen har to ben: aftalen og dens indhold samt den måde, leverandøren reelt behandler data på – herunder hvilke underleverandører der indgår i kæden.

Process for vurdering af leverandørens databehandleraftale

Spørg direkte: Har leverandøren en databehandleraftale – og er den brugt?

Indled dialogen med det direkte spørgsmål: »Tilbyder I en databehandleraftale, og hvad indeholder den?« Leverandører, der ikke kan svare klart, er et rødt flag. En databehandleraftale er nemlig obligatorisk efter GDPR artikel 28, når en tredjepart håndterer personoplysninger for dig. Uden en gyldig aftale risikerer den dataansvarlige både bøder og at miste den kontraktlige kontrol over, hvordan personoplysningerne håndteres.

To fejl går igen: Mange organisationer har slet ikke aftaler med alle deres databehandlere – især ikke med SaaS-værktøjer og cloudtjenester – og der bruges generiske eller forældede skabeloner uden tilpasning til det konkrete system. Bed derfor om den aftaleversion, der gælder for netop dit produkt eller abonnement, og kontrollér, at aftalen beskriver den ydelse, du køber, frem for et andet produkt. Er aftalen ikke tilpasset behandlingen, er den i praksis kun et stykke papir.

Gennemgå aftalens indhold punkt for punkt

GDPR artikel 28, stk. 3, fastlægger minimumsindholdet: genstand og varighed, behandlingens art og formål, kategorier af personoplysninger og registrerede, den dataansvarliges instrukser, fortrolighed, sikkerhedsforanstaltninger, regler om underdatabehandlere, bistand til de registreredes rettigheder, sletning eller returnering samt auditrettigheder. Kernen kan huskes kortere: hvad databehandleren må gøre med dataene, hvilke sikkerhedsforanstaltninger der er på plads, regler for sletning ved ophør og regler for eventuelle underbehandlere.

Gør listen operationel i stedet for blot at konstatere, at punkterne findes. Tjek, at de angivne datakategorier og grupper af registrerede matcher de data, du faktisk lægger hos leverandøren. Kontrollér, at instrukserne er dokumenterede og henviser til dig; at fortrolighedsforpligtelsen omfatter de personer hos leverandøren, der har adgang til dataene; og at aftalen beskriver, hvordan databehandleren konkret bistår med indsigt, berigtigelse og sletning – ikke blot at bistanden ydes. Hvis et punkt kun henviser til leverandørens generelle vilkår, så bed om den præcise tekst.

Sikkerhedspunkterne skal læses som foranstaltninger, ikke hensigter, og både sletning eller returnering og audit skal have en beskrevet fremgangsmåde. Er et minimumspunkt ubesvaret eller kun formuleret som en generel henvisning til gældende ret, bør du følge op skriftligt, før aftalen underskrives.

Vigtige GDPR-kriterier i databehandleraftaler

Underleverandører: hvem behandler dataene ud over leverandøren?

Aftalen skal indeholde regler for databehandlerens brug af underdatabehandlere, herunder krav om forhåndsgodkendelse. Regler om underbehandlere er også et af minimumspunkterne i den korte huskeliste. Konkret: kræv en skriftlig liste over de underleverandører, der behandler dine data, og gennemgå for hver, hvad den bruger dataene til, og hvor den er placeret. En mundtlig opremsning på et møde er ikke nok til at vurdere godkendelsen.

Fastlæg, hvordan du varsles, før en ny underleverandør tages i brug, hvor lang varslingsfristen er, hvordan du gør indsigelse – og hvad der sker, hvis du gør. Aftal også, at databeskyttelsesforpligtelserne mellem dig og leverandøren føres videre til underleverandørerne, så din instruks, fortroligheden og sikkerhedskravene gælder i hele kæden. Kan nye underleverandører tilføjes uden varsling eller godkendelse, ændrer behandlingen sig i praksis uden din viden.

Konkrete sikkerhedsspørgsmål: host, kryptering og adgang

Det er ikke nok, at systemet er »sikkert« ifølge leverandørens egne ord. Stil konkrete spørgsmål om, hvordan dataene faktisk beskyttes, og begynd med placeringen: Hvor hostes dataene? Data bør som udgangspunkt lagres inden for EU/EØS. Sendes data til servere uden for EU, for eksempel i USA, udløser det særlige krav til overførslen, som du skal have styr på.

Aftalen skal beskrive de passende tekniske og organisatoriske sikkerhedsforanstaltninger, som databehandleren implementerer, jf. indholdskravet om sikkerhedsforanstaltninger. Følg op med spørgsmål, der kan besvares konkret: Hvilke data er krypteret, og hvordan – i transit og i hvile? Hvem hos leverandøren og underleverandørerne har adgang til vores data, og hvordan styres og logges adgangen? Hvordan og inden for hvilken frist underrettes vi ved sikkerhedshændelser? Hvilke foranstaltninger er valgt på baggrund af hvilken risikovurdering?

Bed om dokumentation frem for forsikringer. En ISAE 3000-erklæring er et eksempel på den type dokumentation, en dansk leverandør kan fremlægge. I JO Informatiks erklæring af 1. december 2021 anfører virksomheden eksempelvis, at et højt sikkerhedsniveau anses som et krav for at kunne overholde lov- og myndighedskrav. Efterspørg den konkrete erklæring, revisionsrapport eller sikkerhedsbeskrivelse, og læs, hvilke kontroller den dækker – og hvilke den ikke dækker.

Tilsyn og opfølgning: aftalen skal leves op til i praksis

Tilsyn med databehandlere er en central del af databeskyttelsesretten. Det skal sikre, at databehandleren efterlever både de aftalte krav i databehandleraftalen og de krav, der generelt følger af databeskyttelsesretten. Auditret er samtidig et af de punkter, aftalen skal indeholde. Ansvar stopper altså ikke ved underskriften.

Gør tilsynet operationelt: aftal, hvordan audit gennemføres – med hvilket varsel, i hvilket omfang, og om leverandøren kan fremlægge erklæring eller revisionsrapport i stedet for besøg. Aftal, hvordan resultater dokumenteres, og hvordan afvigelser rettes, med ansvarlig og frist. Læg stikprøver ind i aftaleperioden: tag en enkelt underleverandør, en enkelt adgangsrettighed eller en enkelt slettehandling, og bed om dokumentation for netop den sag. Det er hurtigere og mere oplysende end en generel statusrapport.

Ved ophør: sletning, returnering og underleverandører

Ved ophør skal databehandleren slette eller returnere alle personoplysninger, og det punkt skal stå i aftalen. Aftal, hvilken af delene der skal ske, i hvilken form, inden for hvilken frist, og hvordan du får dokumentation for, at det er gjort. Sletningen skal også omfatte underleverandørerne. Ellers kan der ligge kopier tilbage i kæden, efter at hovedleverandøren har svaret, at data er slettet.

Slettepligten er ikke ubetinget. Ifølge Datatilsynet skal dataansvarlige slette personoplysninger, når oplysningerne ikke længere er nødvendige for formålet. Det gælder også, når et samtykke trækkes tilbage uden anden hjemmel, ved ulovlig behandling, når en retlig forpligtelse i EU- eller national lovgivning kræver det, eller som følge af den registreredes indsigelse.

Men retten til sletning er ikke absolut, og der kan være registreringer, man ikke bare kan kræve slettet – det eksemplificerer Datatilsynet med Skattestyrelsen. Aftal derfor udtrykkeligt, hvad der sker, hvis lovgivningen kræver opbevaring efter samarbejdets ophør, og hvordan tilbageværende data i så fald beskyttes.

Røde flag og en praktisk tjekliste til leverandørdialogen

Hold øje med disse røde flag: Ingen databehandleraftale – manglende aftaler ses især med SaaS-værktøjer og cloudtjenester. Aftalen er en generisk eller forældet skabelon uden tilpasning til det konkrete system. Leverandøren kan ikke klart svare på, om de tilbyder en databehandleraftale, og hvad den indeholder. Sikkerheden dokumenteres kun med »vi er sikre« ifølge leverandørens egne ord. Leverandøren henviser til, at de er godkendt af Datatilsynet – ifølge Datatilsynet bliver man i udgangspunktet ikke godkendt eller får tilladelse, og det er normalt den enkelte dataansvarliges opgave at leve op til GDPR. Dertil: ingen liste over underleverandører, ingen auditret eller procedure for sletning ved ophør.

Spørgeskema til leverandørmødet: