Hvad er en databehandleraftale?
En databehandleraftale er den kontrakt, GDPR artikel 28 kræver, når en leverandør behandler personoplysninger på jeres vegne og efter jeres instruks. Den er ikke valgfri og ikke en formalitet: Uden aftalen er selve behandlingen ulovlig, uanset hvor god sikkerheden ellers er. Datatilsynet har udgivet en standardskabelon, som mange danske aftaler bygger på.
Dataansvarlig vs. databehandler
Rollefordelingen afgør, hvem der skal hvad:
- Den dataansvarlige bestemmer formål og midler: hvorfor og hvordan personoplysninger behandles. Det er typisk jer som virksomhed, når det gælder jeres kunder og medarbejdere.
- Databehandleren behandler kun oplysningerne efter instruks fra den dataansvarlige, fx jeres hostingleverandør, lønbureau eller IT-driftspartner.
En leverandør kan sagtens være dataansvarlig for egne data (sine egne medarbejdere) og databehandler for jeres. Og kæden fortsætter nedad: Bruger databehandleren selv underleverandører (underdatabehandlere), skal de godkendes af jer og være underlagt de samme forpligtelser.
Hvad skal aftalen indeholde?
GDPR stiller konkrete minimumskrav. En databehandleraftale skal blandt andet fastlægge:
- Behandlingens genstand og varighed: hvilke data, hvilke kategorier af personer og hvor længe.
- Instruksen: Databehandleren må kun behandle data som aftalt, ikke til egne formål.
- Fortrolighed: Medarbejdere med adgang skal være underlagt tavshedspligt.
- Sikkerhedsforanstaltninger: passende tekniske og organisatoriske tiltag, fx kryptering, adgangsstyring og backup.
- Underdatabehandlere: krav om forudgående godkendelse og videreførelse af forpligtelserne.
- Bistand til den dataansvarlige: ved indsigtsanmodninger, brud på persondatasikkerheden og konsekvensanalyser.
- Sletning eller tilbagelevering af data ved aftalens ophør.
- Revision og tilsyn: jeres ret til at kontrollere, at aftalen faktisk efterleves.
Databehandleraftaler med Microsoft og jeres IT-leverandør
I praksis har de fleste SMV'er to vigtige aftaler at have styr på. Den ene er med Microsoft: Bruger I Microsoft 365 eller Azure, er databehandleraftalen en del af Microsofts standardvilkår (Data Protection Addendum). Den skal ikke forhandles, men I skal vide, at den findes, og kunne henvise til den i jeres fortegnelse. Den anden er med jeres IT-leverandør: En driftspartner med adgang til jeres servere og brugerdata er pr. definition databehandler. MI Support IT er selv databehandler for vores kunder, og databehandleraftalen er en fast del af vores IT-outsourcing- og driftsaftaler. Spørg gerne efter den, det er præcis den kontrol, I som dataansvarlig forventes at udføre.
Sådan hjælper MI Support IT
Vi hjælper med at få den tekniske side af aftalerne til at hænge sammen med virkeligheden: hvilke systemer behandler persondata, hvilke underleverandører er i spil, og lever sikkerheden op til det, aftalen lover. Med IT-rådgivning får I overblikket. Kontakt os for en uforpligtende snak.