Modul 9 · 9.2
Databehandleravtalen og underdatabehandlere
Modul 9: Mennesker og regler · Lesetid: 11 minutter
Læringsmål: Etter denne leksjonen kan du lese og kontrollere en databehandleravtale opp mot kravene i GDPR, og vurdere en liste over underdatabehandlere.
Kjernebegreper: databehandleravtale (DPA), artikkel 28 nr. 3 i GDPR, skriftlige instrukser, taushetsplikt, sikkerhetstiltak, underdatabehandler, generelt eller spesifikt samtykke, rett til å protestere, bistand, tilbakelevering eller sletting, revisjon, overføring utenfor EØS, frist for melding om datainnbrudd, standard kontraktsvilkår for databehandlere
Hvorfor en databehandleravtale?
I leksjon 1.2 så du rollene: Bakkerij De Korrel er behandlingsansvarlig, skytjenesten er databehandler. Artikkel 28 nr. 3 i GDPR krever at behandlingen som utføres av en databehandler, skal reguleres i en avtale (eller annen rettsakt) som er skriftlig, også elektronisk. Dette er databehandleravtalen (DPA), på engelsk Data Processing Agreement (DPA) eller Data Processing Addendum.
Hos store skytjenester signerer du ikke selv et dokument: databehandleravtalen er en del av vilkårene du godtar, eller du krysser av et felt i administrasjonspanelet. Hos mindre leverandører laster du noen ganger ned et dokument, fyller inn opplysningene dine og signerer det. Uansett hvordan: som behandlingsansvarlig må du kunne vise at det finnes en databehandleravtale, og hva den inneholder.
Dette er forklaring, ikke juridisk rådgivning. Er du i tvil om dine egne kontrakter, bør du spørre en jurist eller personvernombudet ditt.
Hva GDPR krever at avtalen skal inneholde
Artikkel 28 nr. 3 nevner først temaene avtalen skal beskrive: gjenstanden og varigheten av behandlingen, arten og formålet, typen personopplysninger, kategoriene registrerte, og rettighetene og pliktene til den behandlingsansvarlige. Deretter følger åtte plikter for databehandleren (bokstav a til h). Her er de i vanlig språk, med kontrollspørsmålet du bør stille når du leser:
| Art. 28 nr. 3 | Hva databehandleren må gjøre | Ditt kontrollspørsmål |
|---|---|---|
| a | Bare behandle etter dine skriftlige instrukser, også når det gjelder overføring utenfor EØS | Står det at leverandøren ikke bruker opplysningene til egne formål? |
| b | Sørge for at ansatte har taushetsplikt | Er det en taushetsplikt for personalet? |
| c | Iverksette egnede sikkerhetstiltak (art. 32) | Står tiltakene i avtalen, eller er det en henvisning til et oppdatert dokument? |
| d | Underdatabehandlere kun med ditt samtykke, og med samme plikter | Finnes det en liste, og kan du protestere? |
| e | Bistå ved henvendelser fra registrerte (innsyn, sletting) | Kan leverandøren finne og slette opplysninger om én person? |
| f | Bistå ved sikkerhet, datainnbrudd og DPIA-er (art. 32 til 36) | Hvor raskt melder leverandøren et datainnbrudd? |
| g | Etter avtalens opphør tilbakelevere eller slette alle opplysninger, etter ditt valg | Hvor lenge etter oppsigelse kan du hente ut dataene dine, og når blir de slettet? |
| h | Gi informasjon og muliggjøre revisjoner | Finnes det revisjonsrapporter eller sertifikater, og kan du få utført en revisjon? |
Europakommisjonen har også publisert standard kontraktsvilkår for databehandlere (gjennomføringsbeslutning (EU) 2021/915). Disse kan du bruke som databehandleravtale; de inneholder alle de obligatoriske punktene. Mange mindre leverandører bruker sin egen mal, i Nederland ofte basert på malen fra bransjeorganisasjoner.
Underdatabehandlere: hvem står bak leverandøren din?
Skytjenesten din gjør ikke alt selv. En underdatabehandler er en part som databehandleren engasjerer, og som har tilgang til dataene dine, for eksempel:
- datasenteret (hvis det ikke tilhører leverandøren selv);
- en leverandør av sikkerhetskopiering;
- et selskap som filtrerer e-post for spam eller virus;
- en supportpartner eller en utvikler som overvåker fjernstyrt;
- en KI-tjeneste hvis leverandøren tilbyr en KI-funksjon.
Artikkel 28 nr. 2 sier: en databehandler engasjerer ikke en underdatabehandler uten forutgående spesifikt eller generelt skriftlig samtykke fra den behandlingsansvarlige. Ved generelt samtykke må databehandleren informere deg om nye eller erstattede underdatabehandlere, slik at du kan protestere. I praksis fungerer det slik: leverandøren publiserer en liste, melder endringer (per e-post eller på en side du kan følge), og du har en frist til å protestere. Protesterer du og det ikke blir funnet en løsning, kan du ofte si opp avtalen.
I henhold til nr. 4 skal underdatabehandleren pålegges de samme pliktene, og databehandleren forblir fullt ut ansvarlig overfor deg.
Hva du bør se ekstra nøye på ved en overgang til en europeisk tjeneste
Ved en overgang til en europeisk tjeneste ser du i listen over underdatabehandlere spesielt på to ting:
- Hvor befinner underdatabehandlerne seg? En europeisk leverandør som lar e-posten sin filtreres av en amerikansk tjeneste, eller legger sikkerhetskopiene sine hos en amerikansk sky, bringer dataene dine likevel under CLOUD Act (leksjon 1.3). Se på landet og morselskapet til hver underdatabehandler.
- Hva gjør de? En domeneregistrar som bare kjenner navnet og adressen din som domeneinnehaver, er noe annet enn en part som lagrer e-postboksene dine.
Les også artikkelen om overføring. En god europeisk databehandleravtale sier at data behandles innenfor EU eller EØS, og at overføring utenfor dette kun kan skje med ditt forhåndssamtykke. Står det derimot «vi kan behandle data globalt med egnede garantier», vet du at overføring er mulig.
Signaler du bør være oppmerksom på
- Ingen databehandleravtale tilgjengelig for en tjeneste beregnet på forretningsbruk: ikke et godt valg.
- En utdatert liste over underdatabehandlere som ikke stemmer med det leverandøren forteller andre steder (for eksempel et annet datasenter): spør om en forklaring.
- En meldefrist for datainnbrudd som er så lang at du ikke klarer å overholde din egen frist på 72 timer (art. 33). Mange databehandleravtaler nevner 24 eller 48 timer.
- Ansvar som er fullstendig utelukket. Dette er vanlig til en viss grad, men det sier noe om hvor sikker leverandøren er på seg selv.
- Ingen ordning for avslutningen: hva skjer med dataene dine etter oppsigelse, og får du en bekreftelse på sletting?
Hvem signerer, og hvor oppbevarer du den?
Hos De Korrel signerer Sanne som eier. Hun oppbevarer databehandleravtalen sammen med protokollen over behandlingsaktiviteter (leksjon 9.3), med dato og versjon. Endrer leverandøren databehandleravtalen eller underdatabehandlerne, oppbevarer hun også den meldingen. Ved en kontroll fra tilsynsmyndigheten, eller ved et spørsmål fra en kunde («hvordan håndterer dere opplysningene mine?»), kan hun vise dette fram.
I praksis: slik ser det ut hos en leverandør
WebOké har en standard databehandleravtale med et vedlegg med engasjerte tredjeparter, der det står at behandlingen skjer innenfor EU og at overføring utenfor dette kun kan skje med skriftlig samtykke. I de ofte stilte spørsmålene i Nextcloud-veiledningen står det når du trenger den. Hos andre leverandører heter dokumentet ofte «Data Processing Agreement», og listen over underdatabehandlere står på en egen side («Subprocessors»). Sammenlign den listen med det leverandøren sier på nettsiden sin om datasentre og support.
Oppsummering
- Artikkel 28 nr. 3 i GDPR krever en skriftlig databehandleravtale med faste temaer og åtte plikter for databehandleren.
- Kontroller spesielt: ingen egne formål, sikkerhet, underdatabehandlere, bistand ved datainnbrudd, tilbakelevering eller sletting etter avslutning, og revisjoner.
- Underdatabehandlere kun med ditt samtykke; ved generelt samtykke må du få vite om endringer og kunne protestere.
- Ved en overgang til en europeisk tjeneste ser du i listen over underdatabehandlere på land og morselskap for hver part.
- Oppbevar databehandleravtalen og endringsmeldinger sammen med protokollen over behandlingsaktiviteter.
Quiz
Oppgave
Oppgave E9.2: Kontroller en databehandleravtale. Ta databehandleravtalen for din nåværende eller nye skytjeneste. Gå gjennom de åtte punktene a til h, og noter for hvert punkt: står det der (ja, nei, uklart) og hvor. Vurder listen over underdatabehandlere: noter for hver underdatabehandler land, morselskap og hva den gjør.
Oppgave E9.2: Kontroller en databehandleravtale
Ta databehandleravtalen fra din nåværende eller nye leverandør og gå gjennom punktene fra leksjonen.
En varslingsfrist lengre enn 72 timer gjør det vanskelig å overholde din egen varslingsplikt (artikkel 33 i GDPR).
En skytjeneste helt uten underleverandører er sjelden: be om listen hvis den ikke er oppgitt.
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Les mer
Stegene i disse artiklene gjelder for tjenestene til WebOké; hos andre leverandører fungerer det på lignende måte.
- Nextcloud-veiledning 15.13: Ofte stilte spørsmål om sikkerhet og personvern
- Nextcloud-veiledning 14.8: KI-assistent i Nextcloud-en din
- Forordning (EU) 2016/679 (GDPR), artikkel 28, på EUR-Lex
- Gjennomføringsbeslutning (EU) 2021/915 (standard kontraktsvilkår mellom behandlingsansvarlige og databehandlere), på EUR-Lex
- Den nederlandske tilsynsmyndigheten Autoriteit Persoonsgegevens, om temaet «databehandleravtale» (gjelder nederlandsk rett; i Norge er det Datatilsynet som er tilsynsmyndighet): https://www.autoriteitpersoonsgegevens.nl