Indeholder illustrationer skabt med AI
En søgning på “databehandleraftale små virksomheder” handler ofte om det samme spørgsmål: Hvad skal aftalen indeholde, når en ekstern leverandør håndterer virksomhedens personoplysninger?
Det korte svar er, at aftalen skal beskrive behandlingen, sikkerheden, leverandørens ansvar og det, der sker, når samarbejdet stopper. Kravene gælder også for små virksomheder, og derfor bør aftalen passe til jeres faktiske IT-løsning. Først skal I dog afgøre, om leverandøren er databehandler.
Hvornår skal en virksomhed have en databehandleraftale?
En databehandleraftale er relevant, når en ekstern virksomhed behandler personoplysninger på jeres vegne og efter jeres instrukser. I er normalt dataansvarlige, mens leverandøren er databehandler.
Det kan for eksempel være en ekstern IT-partner, der får adgang til medarbejderes e-mails, kundedata, backup eller dokumenter. Det gælder også leverandører af lønsystemer, bookingsystemer, hosting, CRM, cloud-lagring og support.
Ekstern IT-support kan udløse kravet
En IT-leverandør behandler måske ikke aktivt kundedata hver dag. Alligevel kan leverandøren få adgang til personoplysninger under fejlsøgning, backup, systemadministration eller fjernsupport.
Hvis IT-partneren kan se mapper, mails, brugerprofiler eller servere med persondata, bør I vurdere forholdet efter GDPR. En almindelig serviceaftale beskriver typisk support og drift, men den erstatter ikke nødvendigvis en databehandleraftale.
I kan med fordel samle de to aftaler, så det står tydeligt, hvilke systemer leverandøren må tilgå, og hvordan adgangen skal foregå. Se også sammenhængen mellem IT-serviceaftale og databehandleraftale, hvis I vil have styr på begge dele.
Ikke alle leverandører er databehandlere
En leverandør er ikke automatisk databehandler, bare fordi virksomheden modtager personoplysninger. Det afgørende er, hvem der bestemmer formålet med behandlingen og de vigtigste midler.
Et selvstændigt revisionsfirma kan for eksempel have sit eget ansvar for bestemte behandlinger. En cloud-leverandør, der alene opbevarer jeres filer efter jeres instrukser, vil derimod ofte være databehandler.
Vurder hvert leverandørforhold særskilt. Skriv derefter ned, hvem der er dataansvarlig, hvem der er databehandler, og hvilke oplysninger behandlingen omfatter.
Databehandleraftale små virksomheder: Hvad skal den indeholde?
En databehandleraftale skal være skriftlig. Den kan godt indgås elektronisk, hvis aftalen er bindende og dokumenterbar.
Artikel 28, stk. 3, i GDPR opstiller minimumskravene. Den officielle forordning kan læses hos EUR-Lex, EU’s GDPR-tekst, hvor reglerne om databehandlere står i artikel 28.
Aftalen skal som minimum beskrive:
- Hvad behandlingen går ud på.
- Hvor længe behandlingen varer.
- Hvilket formål behandlingen har.
- Hvilke typer personoplysninger der behandles.
- Hvilke kategorier af registrerede oplysningerne handler om.
- Den dataansvarliges rettigheder og forpligtelser.
Beskriv behandlingen konkret
Skriv ikke kun, at leverandøren “behandler personoplysninger efter gældende lovgivning”. Det fortæller for lidt om det faktiske samarbejde.
Beskriv i stedet, hvilke systemer leverandøren håndterer. Det kan være Microsoft 365, en filserver, backup, et lønsystem eller et kundekartotek. Angiv også, om leverandøren må læse data, kopiere data, gendanne data eller kun administrere tekniske indstillinger.
En mindre virksomhed kan for eksempel skrive, at IT-leverandøren må behandle medarbejder- og kundedata i forbindelse med support, backup, fejlsøgning, gendannelse og sikkerhedsopdateringer. Formålet er drift og vedligeholdelse af virksomhedens IT-systemer.
Aftalen skal følge jeres instrukser
Databehandleren må kun behandle personoplysninger efter dokumenterede instrukser fra jer. Instrukserne bør stå i aftalen eller i et bilag, som I kan opdatere.
Aftalen bør også forklare, hvordan nye instrukser gives, hvem hos virksomheden der må give dem, og hvordan leverandøren håndterer en instruktion, der efter leverandørens vurdering strider mod GDPR.
Hvis leverandøren mener, at en instruktion er ulovlig, skal leverandøren normalt gøre jer opmærksom på det. Leverandøren må ikke selv begynde at bruge data til markedsføring, analyse eller andre formål, som I ikke har aftalt.
Sikkerhedskrav skal stå tydeligt
En databehandleraftale bør ikke nøjes med at henvise til “passende sikkerhed”. Sikkerhedsniveauet skal passe til risikoen og de data, som leverandøren håndterer.
Datatilsynet beskriver kravene til behandlingssikkerhed i sin vejledning om sikkerhed og databeskyttelse. For mange små virksomheder er et særskilt sikkerhedsbilag den mest praktiske løsning.
Hvilke sikkerhedstiltag bør nævnes?
Aftalen kan for eksempel beskrive:
- Begrænsning af administratorrettigheder.
- Personlige brugerkonti og stærk adgangskodepolitik.
- To-faktor-godkendelse ved fjernadgang.
- Kryptering under overførsel og eventuelt ved lagring.
- Logning af relevante administratorhandlinger.
- Opdatering af servere, netværksudstyr og programmer.
- Backup, opbevaring og test af gendannelse.
- Fysisk sikring af servere og andet udstyr.
- Procedurer ved mistanke om misbrug eller angreb.
Kravene skal være realistiske. Hvis leverandøren ikke logger alle supporthandlinger, skal aftalen ikke love fuld logning. Beskriv i stedet, hvad der faktisk registreres, hvor længe loggen gemmes, og hvem der kan se den.
Fortrolighed og adgang
Alle personer hos databehandleren, der får adgang til oplysningerne, skal være underlagt fortrolighed. Det kan ske gennem ansættelsesvilkår, en særskilt fortrolighedsaftale eller en lovbestemt tavshedspligt.
Aftalen bør også forklare, hvordan adgang tildeles og fjernes. Når en tekniker skifter job, eller en underleverandør ikke længere bruges, skal adgangen lukkes uden unødig forsinkelse.
For en virksomhed med ekstern IT-drift er det relevant at aftale, om support sker via fjernforbindelse, fysisk fremmøde eller begge dele. I bør også vide, hvem der kan få administratoradgang til jeres systemer.
Underdatabehandlere og data uden for EU
En databehandler bruger ofte andre leverandører. Det kan være et datacenter, en backup-platform, en cloud-tjeneste eller en underleverandør til support.
Databehandleraftalen skal regulere brugen af disse underdatabehandlere. Databehandleren må ikke frit sætte nye leverandører ind i kæden uden jeres tilladelse.
Sådan håndteres nye underdatabehandlere
I kan give en specifik tilladelse til navngivne underdatabehandlere. I kan også give en generel tilladelse, hvor leverandøren skal informere jer om ændringer.
Ved en generel tilladelse skal I have mulighed for at gøre indsigelse mod en ny underdatabehandler. Aftalen bør derfor forklare, hvor lang frist I har, hvordan indsigelsen sendes, og hvad der sker, hvis parterne ikke finder en løsning.
Bed om en opdateret liste over underdatabehandlere. Listen bør vise navn, funktion, land og den del af behandlingen, som leverandøren udfører. Databehandleren har stadig ansvaret for, at underdatabehandleren overholder de aftalte krav.
Tredjelande kræver ekstra opmærksomhed
Hvis personoplysninger behandles eller gøres tilgængelige uden for EU og EØS, skal I undersøge reglerne om overførsel til tredjelande. En databehandleraftale alene gør ikke en sådan overførsel lovlig.
Tjek derfor, hvor data lagres, hvor supportpersonale arbejder fra, og hvilke lande der kan få adgang. Datatilsynets afgørelse om overførsler til tredjelande viser, hvor vigtigt det er at beskrive overførsler og vilkår klart.
Brud på persondatasikkerheden
Databehandleren skal hjælpe jer, hvis der sker et brud på persondatasikkerheden. Det kan være et hackerangreb, en fejlsendt e-mail, mistede enheder, ulovlig adgang eller utilsigtet sletning.
Aftalen bør fastlægge, hvordan leverandøren kontakter jer, og hvilke oplysninger den første besked skal indeholde. Vent ikke med at aftale processen, til en hændelse er i gang.
En god procedure beskriver:
- Hvem leverandøren kontakter hos jer.
- Hvilken kanal der bruges ved hastesager.
- Hvor hurtigt den første besked skal sendes.
- Hvilke systemer og oplysninger der er berørt.
- Hvilke midlertidige tiltag leverandøren sætter i gang.
- Hvem der dokumenterer hændelsen og følger op.
I skal som dataansvarlig vurdere, om bruddet skal anmeldes til Datatilsynet. Databehandleren skal give jer de oplysninger og den hjælp, som I har brug for til vurderingen.
Sletning, tilbagelevering og ophør
Aftalen skal beskrive, hvad der sker med personoplysningerne, når samarbejdet slutter. I skal kunne vælge, om data skal slettes eller leveres tilbage, medmindre lovgivningen kræver fortsat opbevaring.
Skriv også, hvor lang tid leverandøren har til at gennemføre handlingen. Det bør fremgå, om data slettes fra produktionssystemer, backup, testmiljøer, lokale enheder og underdatabehandleres systemer.
Backup gør sletning mere kompliceret
Sletning fra aktive systemer er ikke altid det samme som sletning fra backup. Derfor skal aftalen forklare, hvordan gamle sikkerhedskopier håndteres.
Det kan for eksempel være aftalt, at data ikke bruges efter ophør, at adgangen fjernes straks, og at backupkopier overskrives efter den normale rotationsperiode. Hvis data skal gendannes i perioden, skal leverandøren følge jeres instrukser.
En cloud-synkronisering er heller ikke det samme som backup. Hvis en fil slettes eller krypteres, kan ændringen blive synkroniseret til alle enheder. Se rådene om separat backup og IT-sikkerhed for en praktisk gennemgang af forskellen.
Bistand, kontrol og dokumentation
Databehandleren skal hjælpe jer med at overholde GDPR. Det gælder blandt andet ved anmodninger fra registrerede, sikkerhedsvurderinger, konsekvensanalyser og kontakt med Datatilsynet.
Hvis en kunde eller medarbejder beder om indsigt, rettelse eller sletning, skal leverandøren kunne hjælpe med at finde, ændre eller udlevere de relevante oplysninger. Aftalen bør beskrive, hvordan en sådan anmodning sendes videre, og hvor hurtigt leverandøren svarer.
Retten til tilsyn skal kunne bruges
I skal kunne kontrollere, om databehandleren følger aftalen. Det kan ske gennem erklæringer, revisionsrapporter, spørgeskemaer eller et konkret tilsyn.
For en lille virksomhed er et fysisk auditbesøg ikke altid nødvendigt. En årlig gennemgang af leverandørens sikkerhedsdokumentation kan være passende, hvis behandlingen har lav risiko. Ved følsomme eller omfattende oplysninger kan en mere grundig kontrol være nødvendig.
Aftalen bør også give adgang til oplysninger om underdatabehandlere. Databehandleren skal kunne dokumentere, at leverandørkæden følger de krav, som I har aftalt.
Gem dokumentationen ét sted
Opbevar databehandleraftalen sammen med bilag om systemer, sikkerhed, underdatabehandlere og instrukser. Notér også datoen for seneste gennemgang.
Det gør det lettere at svare på spørgsmål fra kunder, medarbejdere, revisor eller Datatilsynet. Datatilsynets regler og vejledning er et godt sted at finde yderligere information om virksomhedens GDPR-ansvar.
Sådan gennemgår I aftalen i praksis
En lille virksomhed behøver ikke skrive en lang kontrakt for at opfylde artikel 28. Aftalen skal være præcis nok til, at begge parter ved, hvad der må ske med oplysningerne.
Gennemgå den med denne rækkefølge:
- Lav en liste over alle eksterne leverandører med adgang til personoplysninger.
- Afgør, hvilke leverandører der er databehandlere.
- Beskriv systemer, datatyper, formål og adgang.
- Kontrollér listen over underdatabehandlere og lande.
- Tilføj konkrete krav til sikkerhed, brud og backup.
- Aftal sletning eller tilbagelevering ved ophør.
- Fastlæg, hvordan tilsyn og dokumentation foregår.
- Gennemgå aftalen igen, når systemer eller leverandører ændrer sig.
Hvis IT-driften også omfatter netværk, Wi-Fi, backup og brugeradministration, bør de tekniske forhold passe sammen med aftalen. En IT-serviceaftale med support og drift kan beskrive den daglige opgavefordeling, mens databehandleraftalen regulerer behandlingen af personoplysninger.
Konklusion
En databehandleraftale for små virksomheder skal gøre ansvar og adgang tydeligt. Den skal beskrive behandlingen, sikkerheden, underdatabehandlerne, hjælpen ved brud, kontrollen og håndteringen af data, når samarbejdet slutter.
Brug gerne en skabelon, men tilpas den til jeres egne systemer og leverandører. En kort aftale med konkrete oplysninger er mere nyttig end mange sider med generelle formuleringer. Det vigtigste er, at I ved, hvem der kan se jeres data, hvorfor adgangen findes, og hvordan den bliver fjernet igen.
