Hvad er en databehandleraftale?
En databehandleraftale er den kontrakt, GDPR artikel 28 kræver, når en leverandør behandler personoplysninger på dine vegne og efter din instruks. Den er ikke valgfri og ikke en formalitet: Uden aftalen er selve behandlingen ulovlig, uanset hvor god sikkerheden ellers er. Datatilsynet har udgivet en standardskabelon, som mange danske aftaler bygger på.
Dataansvarlig vs. databehandler
Rollefordelingen afgør, hvem der skal hvad:
- Den dataansvarlige bestemmer formål og midler: hvorfor og hvordan personoplysninger behandles. Det er typisk dig som virksomhed, når det gælder dine kunder og medarbejdere.
- Databehandleren behandler kun oplysningerne efter instruks fra den dataansvarlige, fx din hostingleverandør, lønbureau eller IT-driftspartner.
En leverandør kan sagtens være dataansvarlig for egne data (sine egne medarbejdere) og databehandler for dine. Og kæden fortsætter nedad: Bruger databehandleren selv underleverandører (underdatabehandlere), skal de godkendes af dig og være underlagt de samme forpligtelser.
Hvad skal aftalen indeholde?
GDPR stiller konkrete minimumskrav. En databehandleraftale skal blandt andet fastlægge:
- Behandlingens genstand og varighed: hvilke data, hvilke kategorier af personer og hvor længe.
- Instruksen: Databehandleren må kun behandle data som aftalt, ikke til egne formål.
- Fortrolighed: Medarbejdere med adgang skal være underlagt tavshedspligt.
- Sikkerhedsforanstaltninger: passende tekniske og organisatoriske tiltag, fx kryptering, adgangsstyring og backup.
- Underdatabehandlere: krav om forudgående godkendelse og videreførelse af forpligtelserne.
- Bistand til den dataansvarlige: ved indsigtsanmodninger, brud på persondatasikkerheden og konsekvensanalyser.
- Sletning eller tilbagelevering af data ved aftalens ophør.
- Revision og tilsyn: din ret til at kontrollere, at aftalen faktisk efterleves.
Er du i tvivl om, hvilke leverandører der behandler persondata for dig, og om sikkerheden lever op til aftalerne, er det et typisk emne for IT-rådgivning.
Databehandleraftaler med Microsoft og din IT-leverandør
I praksis har de fleste SMV'er to vigtige aftaler at have styr på. Den ene er med Microsoft: Bruger du Microsoft 365 eller Azure, er databehandleraftalen en del af Microsofts standardvilkår (Data Protection Addendum). Den skal ikke forhandles, men du skal vide, at den findes, og kunne henvise til den i din fortegnelse. Den anden er med din IT-leverandør: En driftspartner med adgang til dine servere og brugerdata er pr. definition databehandler. MI Support IT er selv databehandler for sine kunder, og databehandleraftalen er en fast del af IT-outsourcing- og driftsaftalerne. Spørg gerne efter den, det er præcis den kontrol, du som dataansvarlig forventes at udføre.
Sådan hjælper MI Support IT
Den tekniske side af aftalerne skal hænge sammen med virkeligheden: hvilke systemer behandler persondata, hvilke underleverandører er i spil, og lever sikkerheden op til det, aftalen lover. Det hjælper MI Support IT med, og IT-rådgivning giver dig overblikket. Kontakt os for en uforpligtende snak.