Databehandleraftalen og underdatabehandlere

Modul 9: Mennesker og regler · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du læse og kontrollere en databehandleraftale ud fra de punkter, GDPR kræver, og vurdere en liste over underdatabehandlere.

Centrale begreber: databehandleraftale (DBA, DPA), art. 28, stk. 3 i GDPR, skriftlige instrukser, tavshedspligt, sikkerhedsforanstaltninger, underdatabehandler, generel eller specifik tilladelse, ret til indsigelse, bistand, tilbagelevering eller sletning, audit, overførsel uden for EØS, frist for underretning om brud på persondatasikkerheden, standardkontraktbestemmelser for databehandlere

Hvorfor en databehandleraftale?

I lektion 1.2 så du rollerne: Bakkerij De Korrel er dataansvarlig, cloudtjenesten er databehandler. Artikel 28, stk. 3 i GDPR kræver, at behandlingen, som en databehandler udfører, reguleres i en aftale (eller en anden retsakt), der er fastlagt skriftligt. Elektronisk er også tilladt. Det er databehandleraftalen, forkortet DBA; på engelsk Data Processing Agreement (DPA) eller Data Processing Addendum.

Hos store cloudtjenester underskriver du ikke selv et dokument: DBA'en er en del af de vilkår, du accepterer, eller du sætter et flueben i administrationspanelet. Hos mindre udbydere downloader du nogle gange et dokument, udfylder dine oplysninger og underskriver det. Uanset hvad: som dataansvarlig skal du kunne vise, at der findes en DBA, og hvad der står i den.

Dette er en forklaring, ikke juridisk rådgivning. Er du i tvivl om dine egne kontrakter, så spørg en jurist eller din databeskyttelsesrådgiver.

Hvad der ifølge GDPR skal stå i den

Artikel 28, stk. 3 nævner først de emner, aftalen skal beskrive: genstanden og varigheden af behandlingen, karakteren og formålet, typen af persondata, kategorierne af registrerede, samt den dataansvarliges rettigheder og pligter. Derefter følger otte forpligtelser for databehandleren (litra a til h). Nedenfor i almindeligt sprog, med det spørgsmål du stiller, når du læser:

Art. 28, stk. 3	Hvad databehandleren skal	Dit kontrolspørgsmål
a	Kun behandle efter dine skriftlige instrukser, også hvad angår overførsel uden for EØS	Står det i aftalen, at udbyderen ikke bruger dataene til egne formål?
b	Sikre, at medarbejdere har tavshedspligt	Er der en tavshedspligt for personalet?
c	Træffe passende sikkerhedsforanstaltninger (art. 32)	Står foranstaltningerne i aftalen, eller er der en henvisning til et opdateret dokument?
d	Kun bruge underdatabehandlere med din tilladelse, og med samme forpligtelser	Findes der en liste, og må du gøre indsigelse?
e	Hjælpe med anmodninger fra registrerede (indsigt, sletning)	Kan udbyderen finde og slette oplysninger om én bestemt person?
f	Hjælpe med sikkerhed, brud på persondatasikkerheden og DPIA'er (art. 32 til 36)	Hvor hurtigt underretter udbyderen om et brud på persondatasikkerheden?
g	Efter afslutning tilbagelevere eller slette alle data, efter dit valg	Hvor længe efter opsigelse kan du hente dine data, og hvornår bliver de slettet?
h	Give oplysninger og muliggøre audits	Findes der auditrapporter eller certifikater, og må du få lavet en audit?

Europa-Kommissionen har også udgivet standardkontraktbestemmelser for databehandlere (gennemførelsesafgørelse (EU) 2021/915). Dem må du bruge som DBA; de indeholder alle de obligatoriske punkter. Mange mindre udbydere bruger deres egen skabelon, i Nederlandene ofte baseret på branchesammenslutningers model.

Underdatabehandlere: hvem står bag din udbyder?

Din cloudtjeneste gør ikke alt selv. En underdatabehandler er en part, som databehandleren bruger, og som kan få adgang til dine data, for eksempel:

datacentret (hvis det ikke tilhører udbyderen selv);
en leverandør af backup-lagring;
et firma, der filtrerer mail for spam eller virus;
en supportpartner eller en udvikler, der følger med på afstand;
en AI-tjeneste, hvis udbyderen tilbyder en AI-funktion.

Artikel 28, stk. 2 siger: en databehandler må ikke bruge en underdatabehandler uden forudgående specifik eller generel skriftlig tilladelse fra den dataansvarlige. Ved generel tilladelse skal databehandleren informere dig om nye eller erstattede underdatabehandlere, så du kan gøre indsigelse. I praksis fungerer det sådan: udbyderen offentliggør en liste, meddeler ændringer (via mail eller på en side du kan følge), og du har en frist til at gøre indsigelse. Gør du indsigelse, og findes der ingen løsning, kan du ofte opsige aftalen.

Ifølge stk. 4 skal underdatabehandleren have samme forpligtelser, og databehandleren forbliver fuldt ansvarlig over for dig.

Hvad du skal lægge ekstra mærke til ved et skifte til en europæisk udbyder

Ved et skifte til en europæisk tjeneste kigger du i listen over underdatabehandlere især på to ting:

Hvor befinder underdatabehandlerne sig? En europæisk udbyder, der lader sin mail filtrere af en amerikansk tjeneste, eller lægger sine backups hos en amerikansk cloud, bringer alligevel dine data under CLOUD Act (lektion 1.3). Kig på landet og moderselskabet for hver eneste underdatabehandler.
Hvad laver de? Et domæneregister, der kun kender dit navn og din adresse som domænehaver, er noget andet end en part, der opbevarer dine mailbokse.

Læs også artiklen om overførsel. En god europæisk DBA siger, at data behandles inden for EU eller EØS, og at overførsel uden for dette kun må ske med din forudgående tilladelse. Står der "vi må behandle data globalt med passende sikkerhedsforanstaltninger", så ved du, at overførsel er mulig.

Signaler, du skal lægge mærke til

Ingen DBA tilgængelig for en tjeneste til erhvervsmæssig brug: ikke et godt valg.
En forældet liste over underdatabehandlere, der ikke stemmer overens med, hvad udbyderen oplyser andre steder (for eksempel et andet datacenter): bed om en forklaring.
En frist for underretning om brud på persondatasikkerheden, der er så lang, at du ikke kan overholde din egen frist på 72 timer (art. 33). Mange DBA'er nævner 24 eller 48 timer.
Ansvar der er fuldstændig udelukket. Det er sædvanligt op til et vist punkt, men det siger noget om, hvor sikker udbyderen er på sig selv.
Ingen ordning for afslutningen: hvad sker der med dine data efter opsigelse, og får du en bekræftelse på sletning?

Hvem underskriver, og hvor opbevarer du den?

Hos De Korrel underskriver Sanne som ejer. Hun opbevarer DBA'en sammen med fortegnelsen over behandlingsaktiviteter (lektion 9.3), med dato og version. Ændrer udbyderen DBA'en eller underdatabehandlerne, opbevarer hun også den meddelelse. Ved en kontrol fra tilsynsmyndigheden, eller ved et spørgsmål fra en kunde ("hvordan håndterer I mine data?"), kan hun hurtigt vise det frem.

I praksis: sådan ser det ud hos en udbyder

WebOké har en standard databehandleraftale med et bilag med anvendte tredjeparter, hvor det fremgår, at behandling foregår inden for EU, og at overførsel uden for dette kun må ske med skriftlig tilladelse. I de ofte stillede spørgsmål i Nextcloud-vejledningen står der, hvornår du har brug for den. Hos andre udbydere hedder dokumentet ofte "Data Processing Agreement", og listen over underdatabehandlere står på en separat side ("Subprocessors"). Sammenlign den liste med, hvad udbyderen oplyser på sin hjemmeside om datacentre og support.

Opsummering

Artikel 28, stk. 3 i GDPR kræver en skriftlig databehandleraftale med faste emner og otte forpligtelser for databehandleren.
Kontroller især: ingen egne formål, sikkerhed, underdatabehandlere, hjælp ved brud på persondatasikkerheden, tilbagelevering eller sletning efter afslutning, og audits.
Underdatabehandlere kun med din tilladelse; ved generel tilladelse skal du informeres om ændringer og kunne gøre indsigelse.
Ved et skifte til en europæisk udbyder kigger du i listen over underdatabehandlere på land og moderselskab for hver part.
Opbevar DBA'en og ændringsmeddelelser sammen med din fortegnelse over behandlingsaktiviteter.

Quiz

Opgave

Opgave E9.2: Kontroller en databehandleraftale. Tag databehandleraftalen fra din nuværende eller nye cloudtjeneste. Gennemgå de otte punkter a til h og noter for hvert punkt: står det der (ja, nej, uklart) og hvor. Vurder listen over underdatabehandlere: noter for hver underdatabehandler land, moderselskab og hvad vedkommende laver.

Opgave E9.2: Kontroller en databehandleraftale

Tag databehandleraftalen fra din nuværende eller nye udbyder og gennemgå punkterne fra lektionen.

Hvilken databehandleraftale (udbyder, version eller dato)?

For hvert punkt a til og med h i art. 28 stk. 3 i GDPR: står det der (ja, nej, uklart), og hvor (artikelnummer)?

Meldevarsel for databrud ifølge aftalen (i timer).

Underdatabehandlere: navn · hvad gør de · land · moderselskab (og land) · uden for EØS (ja/nej).

Frist for at hente data efter opsigelse, og hvornår sletning finder sted.

Hvilket punkt vil du gerne drøfte med udbyderen?

Dine afkrydsninger og noter forbliver kun i denne browser; vi sender dem ingen steder hen. Er du logget ind, gemmer vi kun i Mine kurser, at du har udført opgaven.

Læs mere

Trinene i disse artikler gælder for WebOkés tjenester; hos andre udbydere fungerer det på lignende vis.

Nextcloud-vejledning 15.13: Ofte stillede spørgsmål om sikkerhed og privatliv
Nextcloud-vejledning 14.8: AI-assistent i din Nextcloud
Forordning (EU) 2016/679 (GDPR), artikel 28, på EUR-Lex
Gennemførelsesafgørelse (EU) 2021/915 (standardkontraktbestemmelser mellem dataansvarlige og databehandlere), på EUR-Lex
Den nederlandske tilsynsmyndighed Autoriteit Persoonsgegevens, emnet "Verwerkersovereenkomst" (databehandleraftale): https://www.autoriteitpersoonsgegevens.nl

Cookies hos WebOké

Cookieindstillinger

Nødvendige

Marketing