En databehandler behandler personoplysninger på vegne af en dataansvarlig og efter dennes instruks. Den dataansvarlige bestemmer formålene med behandlingen og de væsentlige hjælpemidler, fx hvilke oplysninger der skal bruges og om hvem.
Rollerne er defineret i GDPR artikel 4, nr. 7 og 8. Det er den faktiske behandling, der afgør rollen; en leverandør bliver ikke automatisk databehandler, fordi den har adgang til oplysninger.
Hvad er forskellen på en dataansvarlig og en databehandler?
En webshop er typisk dataansvarlig for behandlingen af sine kunders oplysninger: Webshoppen fastlægger, at oplysningerne skal bruges til fx at håndtere ordrer. En leverandør, der hoster kundedatabasen og behandler oplysningerne efter webshoppens instruks, vil typisk være databehandler for den behandling.
Databehandleren må vælge visse praktiske og tekniske løsninger inden for instruksen. Den må ikke bruge kundernes oplysninger til egne formål. Hvis en leverandør selv fastlægger formål og væsentlige hjælpemidler til en behandling, kan den i stedet være selvstændigt dataansvarlig for den behandling. Hvis parter fastlægger dem i fællesskab, kan der være fælles dataansvar.
En virksomhed kan have forskellige roller for forskellige behandlinger. En softwareleverandør kan fx være databehandler for kundens database og dataansvarlig for egne kontakt- og faktureringsoplysninger. Se Datatilsynets vejledning om rollefordeling.
Hvornår skal du indgå en databehandleraftale?
Når en anden part behandler personoplysninger på dine vegne som databehandler, skal behandlingen være reguleret af en bindende kontrakt eller et andet retligt dokument efter artikel 28. Aftalen skal foreligge skriftligt, herunder elektronisk, og være på plads, før behandlingen begynder.
Aftalen skal bl.a. beskrive behandlingens genstand, varighed, karakter og formål, typen af personoplysninger og kategorierne af personer. Den skal regulere instruks, fortrolighed, sikkerhed, underdatabehandlere, bistand, sletning eller tilbagelevering samt dokumentation og tilsyn.
En databehandleraftale er ikke den rigtige løsning ved enhver videregivelse. Hvis modtageren er selvstændigt dataansvarlig, skal I i stedet afklare bl.a. hjemmel og oplysningspligt for videregivelsen. Læs mere i vejledningen til databehandlere.
Kan du bruge leverandørens standardaftale?
Ja, hvis aftalen opfylder artikel 28 og passer til den konkrete behandling. Du skal vurdere indholdet og de faktiske forhold, herunder sikkerhed, underdatabehandlere og eventuelle overførsler til tredjelande. En standardaftale fritager ikke den dataansvarlige for ansvar.
Tilsyn med databehandlere
Du skal vælge databehandlere, der kan stille de fornødne garantier for en lovlig og sikker behandling, og følge op på, at aftalen overholdes. Artikel 28, stk. 3, litra h, kræver, at databehandleren stiller nødvendig dokumentation til rådighed og giver mulighed for revisioner og inspektioner.
Et tilsyn med databehandleren kan fx bygge på en relevant uafhængig revisionsrapport, spørgsmål og dokumentation fra leverandøren eller en inspektion. Rapportens omfang og eventuelle forbehold skal passe til den behandling, I faktisk bruger leverandøren til.
Hvor ofte skal du føre tilsyn?
Der er ikke én fast tilsynsfrist i GDPR, der gælder for alle databehandlere. Omfang og hyppighed bør tilpasses risikoen, oplysningerne og leverandørens forhold. Ændringer, sikkerhedshændelser eller utilstrækkelig dokumentation kan give anledning til ekstra opfølgning. Dokumentér jeres vurdering og resultat.
Sådan kommer du i gang
- Beskriv, hvilke personoplysninger leverandøren behandler, og til hvilke formål.
- Afklar, hvem der træffer de væsentlige beslutninger om behandlingen.
- Indgå og gennemgå en databehandleraftale, hvis leverandøren handler på jeres vegne.
- Vurder sikkerhed, underdatabehandlere og eventuelle tredjelandsoverførsler.
- Planlæg et tilsyn, der passer til risikoen, og følg op på fund.