Databehandleravtale: sjekkliste for nettverktøy

Nesten hvert verktøy du bruker på nettsiden din, behandler data på dine vegne: webanalyse, nyhetsbrev, CRM, varmekart, chat. Så snart personopplysninger er involvert, krever GDPR en avtale med leverandøren. Den kalles databehandleravtale, på tysk Auftragsverarbeitungsvertrag, kort AV-Vertrag eller AVV. Denne artikkelen forklarer når du trenger den, hva den må inneholde og hva du bør tenke på når du velger et verktøy.

Når du trenger en databehandleravtale

Art. 28 GDPR gjelder når en tjenesteyter behandler personopplysninger på dine vegne og etter dine instrukser. Du er da behandlingsansvarlig, leverandøren er databehandler. Lovteksten finner du i GDPR på EUR-Lex.

Ikke alle forhold er databehandling. Tre konstellasjoner bør du skille mellom:

Avgjørende er hvem som bestemmer formål og midler, ikke hva avtalen heter. En leverandør som også bruker dataene til egne formål, for eksempel til å forbedre egne produkter utover tjenesten for deg, er for den delen ikke lenger databehandler. Etter art. 28 nr. 10 regnes en databehandler som selv bestemmer formål og midler, som behandlingsansvarlig for denne behandlingen.

Obligatorisk innhold etter art. 28 nr. 3

Avtalen må fastsette gjenstand og varighet for behandlingen, art og formål, typen data og kategoriene av registrerte. Dessuten må den fastsette at databehandleren:

• a) bare behandler dataene etter dokumentert instruks, også ved overføring til et tredjeland,
• b) bruker personer som er forpliktet til fortrolighet,
• c) treffer tiltakene etter art. 32,
• d) overholder vilkårene for ytterligere databehandlere,
• e) bistår deg ved henvendelser fra de registrerte,
• f) bistår deg med pliktene etter art. 32 til 36,
• g) etter at tjenesten er avsluttet sletter eller returnerer dataene etter ditt valg,
• h) leverer dokumentasjon og muliggjør kontroller.

Avtalen skal utformes skriftlig, et elektronisk format er nok (nr. 9). En mal gir Europakommisjonen med standardavtalebestemmelsene for databehandling. Etter art. 28 nr. 6 kan avtalen helt eller delvis bygge på dem.

Underleverandører

Bruker leverandøren selv tjenesteytere, for eksempel en hostingleverandør, gjelder to regler fra art. 28 nr. 2 og 4:

• Han trenger din forutgående særskilte eller generelle skriftlige tillatelse. Ved en generell tillatelse må han informere deg om hver planlagte endring. Du kan da protestere.
• Han må pålegge underleverandørene de samme personvernpliktene. Gjør en underleverandør ikke det, hefter den første databehandleren overfor deg.

Be derfor leverandøren om en oppdatert liste over underleverandørene, med sted og oppgave.

Tredjeland

Behandles dataene utenfor EU og EØS, eller kan de hentes fra dagens utland, gjelder i tillegg reglene for overføring til tredjeland (kapittel V, art. 44 flg. GDPR). Vanlig er tre veier: et vedtak fra Kommisjonen om tilstrekkelig beskyttelsesnivå, standardavtalebestemmelser for overføring eller bindende virksomhetsregler. For USA finnes det siden 2023 et vedtak om tilstrekkelig beskyttelsesnivå for EU-US Data Privacy Framework. Det gjelder bare for selskaper som deltar i rammeverket. Det angripes rettslig, kontroller derfor gjeldende status. En server i EU løser temaet hvis verken leverandøren eller en underleverandør fra et tredjeland kan få tilgang til dataene.

Sjekkliste for analyse- og markedsføringsverktøy

1. Avklar rollen. Behandler leverandøren bare for deg, eller også til egne formål?
2. Kontroller avtalen. Står alle punktene fra art. 28 nr. 3 i den?
3. Beskriv dataene. Er typen data og kategoriene av registrerte konkret nevnt?
4. Se på underleverandørene. Finnes det en liste og en prosedyre ved endringer?
5. Spør om serverplassering. Hvor ligger dataene, hvem kan få tilgang?
6. Dokumenter tredjelandsgrunnlaget. Hvilket grunnlag bærer en overføring?
7. Regulér sletting. Hva skjer med dataene etter at avtalen er avsluttet?
8. Les de tekniske tiltakene. Kryptering, tilgangsrettigheter, logging.

Legg avtalen ved dokumentasjonen din, og ta verktøyet med i oversikten over behandlingsaktiviteter etter art. 30 GDPR. Særlig for verktøy som først lastes etter samtykke, er avtalen en andre, atskilt forutsetning. Samtykket på enheten erstatter den ikke, som § 25 TDDDG: informasjonskapsler og sporing i Tyskland viser.

Hva som truer ved brudd

Mangler avtalen eller er den ufullstendig, kan tilsynsmyndigheten påtale det. For brudd på pliktene etter art. 28 fastsetter art. 83 nr. 4 GDPR bøter på inntil 10 millioner euro eller inntil 2 prosent av den samlede globale årsomsetningen, avhengig av hvilket beløp som er høyest. Det er rammen, ikke en prognose for det enkelte tilfellet.

Og i Sveits?

Den sveitsiske personvernloven regulerer behandling gjennom databehandlere i art. 9 DSG. Tanken er lik, formuleringen en annen. Den som henvender seg til registrerte i EU, trenger som regel avtalen etter GDPR. Om det gjelder for tilbudet ditt, forklarer Nettsidesporing i Sveits: revDSG og FMG.

Ofte stilte spørsmål

Trenger jeg en databehandleravtale hvis verktøyet bare viser bedriftsnavn? Det kommer an på om leverandøren da behandler personopplysninger for deg, for eksempel IP-adresser, selv bare kortvarig. I tvil inngår du avtalen, den koster nesten ingenting. Om en IP-adresse er personopplysning, forklarer IP-adresse og GDPR: er den personopplysning?.

Er det nok å akseptere leverandørens vilkår? Bare hvis alt obligatorisk innhold står der, og reguleringen tydelig kan gjenkjennes som avtale eller tillegg. Mange leverandører stiller databehandleravtalen til rådighet som eget dokument for inngåelse.

Må jeg undertegne avtalen? Den må være skriftlig. Et elektronisk format er nok etter art. 28 nr. 9, inngåelse med et klikk er derfor vanlig.