Databehandleraftalen er ofte det eneste dokument, der siger noget om, hvad en leverandør skal gøre, når der opstår et problem med jeres persondata. Den skal efter reglerne indeholde krav om, at databehandleren bistår jer, giver jer de oplysninger, der er nødvendige for at påvise, at reglerne overholdes, giver besked ved brud og tilbageleverer eller sletter data ved ophør. Men aftalerne er tit standardtekster, der er formuleret bredt. Læs jeres egne, før I får brug for dem, og supplér, hvor de er for vage.
Artiklen er til IT og den, der har ansvaret for persondata. Den handler om det praktiske: hvad I kan bede om, og hvordan I gør det.
Hvad aftalen skal indeholde
Databeskyttelsesforordningen artikel 28 fastsætter, hvad en databehandleraftale som minimum skal indeholde. Med betydning for undersøgelser og beviser er især disse punkter:
- databehandleren skal bistå jer med at overholde forpligtelserne om sikkerhed, brud og konsekvensanalyser,
- databehandleren skal stille de oplysninger til rådighed, der er nødvendige for at påvise overholdelse, og give mulighed for revision og inspektion,
- databehandleren skal slette eller tilbagelevere data ved ophør, efter jeres valg.
Databehandleren skal også underrette jer uden unødig forsinkelse, når den bliver opmærksom på et brud.
Bemærk, at reglerne handler om persondata. De giver ikke i sig selv ret til alle logs eller al bistand i en tvist, der handler om noget andet. Det skal aftales særskilt. → IT-leverandørkontrakten: krav om logs og bistand
Typiske situationer, hvor aftalen bliver aktuel
- Et persondatabrud hos leverandøren. I skal bruge oplysninger hurtigt, fordi fristen for at anmelde løber. → Persondatabrud: dokumentationen inden for 72 timer
- En intern undersøgelse, hvor I skal bruge logs fra et system, leverandøren driver, fx et lønsystem, et CRM eller et fagsystem.
- En anmodning om indsigt fra en medarbejder eller kunde, som kræver data fra leverandørens system.
- Mistanke om, at leverandøren selv har brugt data forkert. → Leverandøren har brugt jeres kundedata til egne formål
- Ophør, hvor data skal tilbage, før de slettes.
Hvad gør I nu, trin for trin
- Lav en liste over jeres databehandlere. Alle leverandører, der behandler persondata for jer.
- Find aftalerne frem. Mange er accepteret online som en del af vilkårene. Gem en kopi af den version, der gælder nu.
- Læs punkterne om bistand, oplysninger, brud og ophør. Hvad står der konkret om frister og betaling?
- Notér hullerne. Er der ingen frist for underretning ved brud? Er bistand kun mod betaling efter timepris? Er der intet om logs?
- Supplér, hvor I kan. Hos mindre leverandører kan I ofte aftale et tillæg. Hos store kan I sjældent ændre vilkårene, men I kan kende dem og planlægge efter dem.
- Skriv kontaktoplysninger ind i jeres beredskabsplan, så I ved, hvem I skal kontakte ved et brud eller en undersøgelse.
Når I skal bede om bistand
Når der opstår en sag, så bed om bistand skriftligt og konkret:
- Henvis til databehandleraftalen og det relevante punkt.
- Skriv præcist, hvad I beder om: hvilke logs, hvilken periode, hvilke brugere.
- Bed om, at data og logs bevares, indtil sagen er afklaret.
- Sæt en frist, der passer til situationen.
- Bed om en bekræftelse af, hvad der er gjort.
Brug en kanal, der kan dokumenteres, typisk mail til den kontakt, der står i aftalen, og ikke kun et telefonopkald til supporten. Har I talt med leverandøren i telefonen, så send en kort mail bagefter, der bekræfter, hvad der blev aftalt. Gem både anmodningen og svaret. Svarer leverandøren langsomt eller afviser, er korrespondancen dokumentation for, hvad I har gjort for at få oplysningerne.
Underdatabehandlere
Jeres databehandler bruger ofte selv andre leverandører, såkaldte underdatabehandlere: en hostingudbyder, en cloudtjeneste eller en supportpartner. Data og logs kan derfor ligge et eller flere led væk fra jer. Databehandleraftalen skal sikre, at de samme forpligtelser gælder hele vejen ned, men i praksis går anmodninger om logs og bistand gennem jeres egen databehandler, og det tager tid.
Tjek listen over underdatabehandlere i aftalen, og notér, hvor de vigtigste data og logs ligger. Spørg jeres databehandler, hvor hurtigt de kan skaffe oplysninger fra underdatabehandlerne, hvis der opstår et brud eller en sag.
Revision og inspektion i praksis
Aftalen skal give jer mulighed for revision og inspektion. For en mindre virksomhed betyder det sjældent, at I selv møder op hos leverandøren. Oftest sker det ved, at I beder om en revisionserklæring, besvarelse af et spørgeskema eller dokumentation for bestemte forhold. Det er stadig nyttigt. Spørg fx konkret til, hvilke logs der føres over adgang til jeres data, og hvor længe de gemmes. Svaret fortæller jer, hvad I kan forvente at få, hvis der opstår en sag.
Når det er leverandøren, der er blevet ramt
Bliver jeres databehandler ramt af et angreb, er I stadig ansvarlige over for de personer, hvis data er berørt. I skal derfor have oplysninger hurtigt, også selv om leverandøren har travlt med sin egen genopretning. Bed om skriftlige svar på, hvilke data der er berørt, i hvilken periode, og hvad leverandøren har gjort. → Leverandøren blev hacket: hvad skal I dokumentere?
Hvem gør hvad
- DPO eller ansvarlig for persondata · Ejer listen over databehandlere og aftalerne
- IT · Ved, hvilke logs og data der ligger hos hvem
- Leder · Godkender tillæg og udgifter
- Advokat · Vurderer aftalerne, når der er tvivl eller tvist
Inddrag den, der har ansvaret for persondata, tidligt i en intern undersøgelse, hvor databehandlere er involveret. → DPO i en intern undersøgelse
Det skal I lade være med
- Lad være med at gå ud fra, at standardaftalen dækker jeres behov. Den dækker minimumskravene, ikke nødvendigvis det, I skal bruge i en undersøgelse.
- Lad være med at bede om “alle logs”. Vær konkret. Det giver hurtigere svar og færre persondata, I ikke har brug for.
- Lad være med at lade leverandøren slette ved ophør, før I har bekræftet, at I har fået det hele.
- Lad være med at blande sagerne sammen. Er leverandøren selv årsag til problemet, er det en anden situation end en almindelig anmodning om bistand. Så bør en advokat se på sagen. → Tvister mellem dataansvarlig og databehandler
Hvornår skal I have hjælp?
Få hjælp fra en advokat, hvis databehandleren afviser at bistå, hvis der er uenighed om, hvem der har ansvaret for et brud, eller hvis aftalen er uklar på et afgørende punkt. Skal de logs og data, leverandøren udleverer, kunne bruges som dokumentation i en tvist, kan en uvildig IT-sagkyndig vurdere, om udleveringen er komplet, og sikre materialet, så det kan efterprøves.
Læs også: IT-leverandørkontrakten: krav om logs og bistand ved bevissikring · Cloudtjenester: sikr jer adgang til data og logs, før I skriver under · Ordbog for ledere
→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
