Databehandleravtale

Den behandlingsansvarlige bestemmer hvorfor og hvordan personopplysninger skal behandles. En databehandler behandler opplysninger på vegne av den behandlingsansvarlige.

Det er leverandørens faktiske rolle som er avgjørende. Dersom leverandøren bestemmer formål og midler for en behandling på egne vegne, kan leverandøren i stedet være selvstendig behandlingsansvarlig for denne behandlingen.

Kravet oppstår når en leverandør behandler personopplysninger etter virksomhetens instrukser. Det kan blant annet gjelde:

• leverandører av skytjenester som lagrer virksomhetens kundeopplysninger
• leverandører av lønns og personalsystemer som behandler opplysninger for arbeidsgiveren
• drift og støttetjenester med tilgang til virksomhetens personopplysninger

Også lagring er behandling. Det er likevel ikke tilstrekkelig å se på hvilken bransje leverandøren tilhører eller om leverandøren kan få tilgang til opplysninger. Vurder konkret hvilken behandling leverandøren utfører, på hvilket grunnlag og for hvem.

Virksomheten må dessuten velge en databehandler som gir tilstrekkelige garantier for egnede sikkerhetstiltak og etterlevelse. En signert avtale erstatter ikke vurderingen av leverandøren eller den løpende oppfølgingen.

Avtalen skal angi behandlingens gjenstand, varighet, art og formål, hvilke typer personopplysninger og kategorier av registrerte den omfatter, samt den behandlingsansvarliges rettigheter og plikter. Beskrivelsene bør være konkrete nok til at partene kan fastslå hvilke opplysninger og tjenester avtalen faktisk gjelder.

Avtalen skal også regulere:

• dokumenterte instrukser
• taushetsplikt
• sikkerhetstiltak
• bruk av underdatabehandlere
• sletting eller tilbakelevering ved opphør

Avtalen må også sikre bistand ved utøvelse av de registrertes rettigheter og ved oppfyllelse av virksomhetens øvrige personvernplikter, samt regulere sletting eller tilbakelevering ved opphør. Virksomheten skal få nødvendig informasjon for å kontrollere etterlevelsen og kunne gjennomføre revisjoner.

Databehandleren skal varsle den behandlingsansvarlige uten ugrunnet opphold når den blir kjent med et brudd på personopplysningssikkerheten. Avtalen bør angi kontaktpunkt, varslingsmåte og hvilke foreløpige opplysninger leverandøren skal gi.

Varslet bør komme tidlig, også når undersøkelsene ikke er avsluttet. Leverandøren må deretter bidra til å avklare hva som har skjedd, hvilke opplysninger og personer som er berørt, mulige konsekvenser og tiltak for å begrense skade.

Den behandlingsansvarlige må selv vurdere om bruddet skal meldes til Datatilsynet. Dersom meldeplikten gjelder, skal melding gis uten ugrunnet opphold og om mulig innen 72 timer etter at virksomheten fikk kjennskap til bruddet. Brudd skal dokumenteres også når de ikke meldes. Avtalen bør gi virksomheten tilgang til informasjonen den trenger for disse vurderingene.

Ved krav om innsyn, retting eller sletting bør det være avklart hvordan leverandøren videresender henvendelser, finner relevante opplysninger og bistår med å gjennomføre virksomhetens beslutning. Dette må også fungere dersom opplysningene behandles av en underdatabehandler.

En databehandler kan ikke engasjere en underdatabehandler uten særskilt eller generell skriftlig tillatelse fra den behandlingsansvarlige. Ved generell tillatelse skal databehandleren varsle planlagte endringer, slik at virksomheten kan protestere. Tilsvarende personvernforpliktelser skal pålegges underdatabehandleren. Avtalen bør derfor gi virksomheten en oppdatert oversikt og en reell mulighet til å vurdere endringer.

Dersom leveransen innebærer overføring av personopplysninger til land utenfor EØS, må virksomheten i tillegg vurdere om det finnes et gyldig overføringsgrunnlag, og om det er behov for ytterligere vurderinger eller tiltak. Kartlegg hvor opplysningene behandles, og hvem som kan få tilgang til dem. Databehandleravtalen er ikke i seg selv et overføringsgrunnlag, men den skal regulere at databehandleren følger dokumenterte instrukser også ved overføringer til tredjeland.

Codex Advokat bistår med rolleavklaring, gjennomgang og utforming av databehandleravtaler, samt rutiner for oppfølging av leverandører. Vi kan også bistå når et sikkerhetsbrudd eller et innsynskrav krever rask avklaring av leverandørens plikter.

Ta kontakt for en vurdering av avtalen og leveransen.