Persondata og de registreredes rettigheder
Hvad er en databehandleraftale, og hvornår skal jeg overhovedet have en?
Sidst efterset . Vi forklarer reglerne, som vi læser dem; det er ikke juridisk rådgivning.
Det er den skriftlige aftale med dem, der behandler personoplysninger for jer. I skal have en, hver gang en ekstern part gør det på jeres vegne, for eksempel hosting, regnskab, CRM eller nyhedsbreve. Mangler aftalen, er det en overtrædelse i sig selv. De fleste store leverandører har en standardaftale klar.
Sådan gør du
- Lav en liste over systemer, der ser jeres kunders eller ansattes oplysninger.
- Marker dem, der behandler data for jer, ikke kun som selvstændig part.
- Hent leverandørens standardaftale, eller få en skrevet, før data flyder.
- Tjek at aftalen siger, hvad der må gøres, og hvilke sikkerhedskrav der gælder.
- Læg aftalerne et sted, I kan finde dem, hvis Datatilsynet spørger.
Tjekliste
Det kræver loven
GDPR artikel 28 kræver en skriftlig aftale mellem jer som dataansvarlig og den, der behandler personoplysninger på jeres vegne. Aftalen skal fastlægge rammer og sikkerhedsforanstaltninger. Typiske eksempler er nyhedsbrevsystem, regnskabsprogram, CRM og webhotel. Manglende aftale er en selvstændig overtrædelse, også uden et databrud.
Gælder det mig?
- Arkitekttegnestue med tre ansatte
- Ja, så snart hosting, mail eller projektværktøj ser kundedata. En almindelig leverandørkontrakt dækker ikke; I skal have en databehandleraftale pr. system.
- Webshop med lagerhotel
- Webhotel, betalingsløsning, fragt og nyhedsbrev behandler typisk data for jer. Aftalen skal være på plads, før ordrer og adresser flyder.
- Café med onlinebordbooking
- Bookingsystem og eventuel løn i skyen kræver aftale. Kaffeleverandøren, der kun sender bønner, er ikke databehandler.
Typiske fejl
- At tro, at en almindelig leverandørkontrakt dækker.
- At glemme hosting og e-mail, fordi de føles som drift, ikke som databehandling.
- At tage et nyt cloud-værktøj i brug, før aftalen er på plads.
- At have aftalen et sted, ingen kan finde, når der er brug for den.
Ordbog og definitioner
- Databehandler
- En ekstern part, der behandler personoplysninger på jeres vegne, for eksempel hosting, CRM eller nyhedsbreve.
- Databehandleraftale
- Den skriftlige aftale efter GDPR artikel 28, der fastlægger rammer og sikkerhed mellem jer og databehandleren.
- Dataansvarlig
- Jer, der bestemmer formål og midler, og som skal have aftalen på plads, før data sendes til leverandøren.