Databehandleravtale – krav, innhold og ansvar etter GDPR

En databehandleravtale er en avtale mellom en virksomhet (behandlingsansvarlig) og dens underleverandør (databehandler) om hvordan personopplysninger skal behandles.

Avtalen setter rammer for:

• Hva slags opplysninger som behandles.
• Formålet med behandlingen.
• Varighet og omfang.
• Tekniske og organisatoriske sikkerhetstiltak.
• Databehandlers plikter og rettigheter.

Kort forklart: Behandlingsansvarlig bestemmer formålet, databehandler utfører oppgaven.

Behandlingsansvarlig er den som bestemmer formålet med behandlingen – ofte arbeidsgiver, en forening eller et offentlig organ. Den behandlingsansvarlige kan aldri fraskrive seg ansvaret.

Databehandler er den som behandler opplysninger på vegne av den behandlingsansvarlige. Typiske eksempler er:

• Skytjenester (Microsoft, Google, AWS).
• Regnskapsbyråer.
• Markedsføringsbyråer.
• IT-support eller konsulenter.

En databehandleravtale må inngås når:

• Opplysninger behandles av eksterne leverandører (f.eks. regnskap eller HR-systemer).
• Skytjenester brukes til lagring eller drift.
• Konsulenter eller eksterne får innsyn i personopplysninger.
• En databehandler bruker underdatabehandlere.

Det er alltid den behandlingsansvarlige som må sørge for at avtalen er på plass.

GDPR artikkel 28 setter minstekrav til innholdet. En avtale skal blant annet angi:

• Beskrivelse av behandlingen: Hva databehandleren skal gjøre, hvilke opplysninger som behandles, hvilke kategorier personer det gjelder, og hvor lenge avtalen varer.
• Behandlingsansvarliges plikter og rettigheter: Overordnet ansvar for lovlighet, sikkerhet og kontroll.
• Databehandlers forpliktelser:
  • Følge skriftlige instrukser.
  • Taushetsplikt for autoriserte personer.
  • Tilfredsstillende sikkerhetstiltak.
  • Avtaler med eventuelle underleverandører.
  • Bistand til behandlingsansvarlig ved innsyn, sletting og andre rettigheter.
  • Tilbakestilling eller sletting av data ved oppdragets slutt.
  • Dokumentasjon ved tilsyn.

Send oss en henvendelse under, så tar vi kontakt:

Mange leter etter en databehandleravtale mal eller eksempel på databehandleravtale . På nettet finnes flere standardtekster, blant annet hos Datatilsynet.

Utfordringen er at en mal ofte:

• Ikke dekker virksomhetens spesifikke behov.
• Har uklare grenser for ansvar.
• Gir databehandleren for vide rettigheter.

Vår anbefaling: Bruk mal som utgangspunkt, men tilpass avtalen med juridisk bistand.

Datatilsynet kan føre kontroll med både behandlingsansvarlige og databehandlere. Vanlige feil som avdekkes er:

• At avtalen mangler helt.
• At avtalen er ufullstendig eller foreldet.
• At behandlingsansvarlig ikke har kontroll med underleverandører.

Brudd kan føre til bøter og pålegg.

Når personopplysninger overføres til land utenfor EØS, gjelder egne regler. Her kommer Standard Contractual Clauses (SCCs) inn – standardkontrakter godkjent av EU for å sikre overføringer.

Dette gjelder ofte ved bruk av amerikanske tjenester. Etter Schrems II-dommen er det ikke nok å ha SCCs – virksomheten må også gjøre en konkret risikovurdering.

• Data processor = Databehandler
• Data controller = Behandlingsansvarlig
• Data processing = Behandling av personopplysninger

Mange norske virksomheter opplever at kontraktsvilkår kun finnes på engelsk. Det er derfor avgjørende å forstå hvordan begrepene henger sammen med GDPR.

• Bruk av utdatert eller mangelfull mal.
• Manglende regulering av underdatabehandlere.
• Ansvarsfraskrivelse fra databehandlerens side.
• Ingen avtale om hva som skjer med data etter oppdragets slutt.
• Uklarhet om tilsynsrettigheter.

Alle virksomheter håndterer personopplysninger, enten om ansatte, kunder eller medlemmer. Uten riktige avtaler står man i fare for både tilsyn, bøter og erstatningskrav.

Jo tidligere du får på plass gode avtaler, desto tryggere står virksomheten.

En erfaren advokat som kan databehandleravtaler kan:

• Tilpasse en databehandleravtalemal til din virksomhet.
• Avklare roller (behandlingsansvarlig vs. databehandler).
• Vurdere risiko ved internasjonale overføringer (SCCs).
• Sikre at avtalen tåler tilsyn og tvist.

Ta kontakt – vi hjelper deg med å sikre at dine avtaler oppfyller GDPR-kravene.