Databehandleraftaler (GDPR-tjek)

Hvad er Databehandleraftaler (GDPR-tjek)? Fagområdet handler om at kontrollere, om en ekstern leverandør lovligt kan behandle personoplysninger på en virksomheds vegne. Det er typisk relevant ved SaaS, cloud, hosting, CRM, lønsystemer, support og andre leverandører med adgang til persondata.

Et GDPR-tjek begynder med rollefordelingen. Virksomheden skal først afgøre, om leverandøren faktisk er databehandler. Hvis leverandøren selv bestemmer formålet med behandlingen, kan rollen være en anden. En forkert rollefordeling giver også et forkert aftalegrundlag.

Når leverandøren er databehandler, skal aftalen beskrive behandlingen konkret. Det gælder blandt andet formål, typer af personoplysninger, kategorier af registrerede, instrukser, fortrolighed og sikkerhed. Aftalen skal også håndtere underdatabehandlere, bistand ved registreredes rettigheder, persondatasikkerhedsbrud, sletning eller tilbagelevering samt kontrol og tilsyn.

Et godt GDPR-tjek sammenholder kontrakten med den faktiske løsning. Det er ikke nok, at leverandøren har en standardtekst. Man undersøger også sikkerhedsforanstaltninger, underdatabehandlere, behandlingssteder og ændringsmekanismer. Datatilsynet understreger, at den dataansvarlige ikke kan nøjes med at underskrive aftalen. Der skal også føres et passende tilsyn med, at aftalen overholdes.

Cloudleverandører kræver ofte ekstra opmærksomhed. Datatilsynet har fremhævet, at oplysninger om relevante underdatabehandlere skal være retvisende og løbende tilgængelige. Den dataansvarlige skal kunne forholde sig til ændringer. Behandlingssteder kan også være afgørende, fordi behandling uden for EU og EØS kan udløse reglerne om tredjelandsoverførsler.

En databehandleraftale løser ikke automatisk en tredjelandsoverførsel. EU-Kommissionens standardkontraktbestemmelser til forholdet mellem dataansvarlig og databehandler er noget andet end de standardkontraktbestemmelser, der bruges som overførselsgrundlag til lande uden for EU og EØS.

Hvem arbejder med Databehandleraftaler (GDPR-tjek)? Arbejdet ligger ofte hos privacy-jurister, advokater med databeskyttelse som speciale, DPO'er og GDPR- eller compliance-specialister. I større virksomheder deltager procurement, IT-sikkerhed og vendor management ofte også.

Juristen vurderer især rollefordeling, GDPR-krav, ansvar, instrukser og kontraktvilkår. En sikkerhedsspecialist vurderer typisk de tekniske og organisatoriske foranstaltninger. Procurement ser på leverandørstyring, ændringer og sammenhængen med hovedaftalen.

En enkelt specialist er ofte nok ved gennemgang eller forhandling af få leverandøraftaler. Det gælder især, når problemet er afgrænset til rollefordeling, kontrakttekst eller en konkret cloudleverandør.

Et større rådgiverteam giver mere mening, når virksomheden har mange leverandører eller mangler en samlet proces. Det kan være nødvendigt, hvis opgaven også omfatter leverandørregister, risikovurdering, sikkerhedskrav, tredjelandsoverførsler, tilsyn og løbende governance.

Kurser og uddannelser i Databehandleraftaler (GDPR-tjek) Der findes ikke én uddannelse, som alene gør en person specialist i databehandleraftaler. Fagområdet bygger normalt på databeskyttelsesret, kontraktforståelse og praktisk leverandørstyring.

En juridisk uddannelse med databeskyttelsesret er den stærkeste vej til den juridiske del. For personer i compliance, IT eller procurement er efteruddannelse i GDPR ofte den mere praktiske vej.

Djøfs kursus GDPR i praksis er relevant i dansk sammenhæng. Kurset arbejder blandt andet med rollefordeling, databehandleraftaler, screening, tilsyn og tredjelandsoverførsler.

IAPP's CIPP/E er en anerkendt europæisk privacy-certificering. Den dækker GDPR, europæisk databeskyttelsesret og centrale privacy-begreber. CIPP/E er bredere end databehandleraftaler, men giver et solidt fagligt fundament til arbejdet.

Den vigtigste træning kommer dog fra konkrete aftaler. En fagperson bør øve sig i at klassificere leverandørroller, læse sikkerhedsbilag, kontrollere underdatabehandlerkæder og følge aftalen gennem hele leverandørens levetid.

Standardværker og ressourcer om Databehandleraftaler (GDPR-tjek) Datatilsynets vejledning om dataansvarlige og databehandlere er et naturligt første opslag. Den forklarer rollefordelingen og kravene til databehandlerkonstruktionen. Datatilsynet stiller også en dansk standardskabelon til databehandleraftaler til rådighed.

Datatilsynets vejledning om tilsyn med databehandlere er central i praksis. Den gør det tydeligt, at kontrakten skal følges af kontrol, som passer til risikoen ved behandlingen.

EDPB's Guidelines 07/2020 on the concepts of controller and processor er den vigtigste europæiske fortolkningskilde til rollefordelingen. EDPB's Opinion 22/2024 går længere ned i ansvar og dokumentation ved kæder af databehandlere og underdatabehandlere.

EU-Kommissionens standardkontraktbestemmelser er nyttige som reference ved både artikel 28-aftaler og internationale overførsler. De to regelsæt har forskellige formål og skal vælges efter den konkrete behandling.

Til dybere juridisk opslag er Databeskyttelsesforordningen og databeskyttelsesloven – med kommentarer af Kristian Korfits Nielsen og Anders Lotterup et centralt dansk referenceværk. For CIPP/E-sporet er IAPP's European Data Protection det officielle lærebogsværk.