Hvis en leverandør, der behandler data for jer, har brugt jeres kundedata til noget andet end det aftalte, er I som dataansvarlig nødt til at handle. Sikr dokumentationen for, hvad leverandøren havde adgang til, hvad aftalen tillod, og hvad der tyder på misbrug. Vurder samtidig, om der er tale om et brud på persondatasikkerheden, som skal anmeldes til Datatilsynet.
Typiske situationer er, at jeres kunder pludselig får markedsføring fra leverandøren eller fra en tredjepart, at leverandøren bruger jeres data til at udvikle eller træne egne produkter, eller at data dukker op hos en samarbejdspartner, I aldrig har hørt om. Mistanken kan også komme fra en kunde, der spørger, hvordan en anden virksomhed har fået deres oplysninger.
Først: tag mistanken alvorligt, men konkluder ikke for tidligt
Der kan være andre forklaringer. Kunden kan have givet sine data til flere virksomheder. En underleverandør kan have lavet en fejl. Jeres egen opsætning kan have delt mere end tilsigtet. Derfor er første skridt at samle fakta, ikke at sende beskyldninger.
Skriv ned med det samme:
- hvad der har givet mistanke, og hvornår I fik den,
- hvem der har fortalt om det, og hvordan,
- hvilke data det drejer sig om, og hvilke kunder der er berørt.
Gem det materiale, der har givet mistanke, som originaler. Har en kunde videresendt en mail fra leverandøren, så bed kunden sende den som vedhæftet fil, så headerne følger med.
Det skal I dokumentere
Aftalegrundlaget
- ☐ Hovedaftalen og databehandleraftalen, i de versioner der gjaldt i perioden.
- ☐ Jeres instruks til leverandøren: hvilke formål, hvilke data, hvilke underdatabehandlere.
- ☐ Eventuelle ændringer, tillæg og godkendelser af underdatabehandlere.
Adgangen
- ☐ Hvilke systemer og data leverandøren havde adgang til.
- ☐ Hvilke konti leverandøren brugte, og hvilke rettigheder de havde.
- ☐ Logs over leverandørens adgang og handlinger i jeres systemer, hvis de findes.
- ☐ Eksporter, integrationer og API-nøgler, der gav leverandøren adgang til data.
Tegnene på misbrug
- ☐ Henvendelser fra kunder med originalt materiale.
- ☐ Markedsføring eller kommunikation, der indeholder jeres data.
- ☐ Oplysninger fra leverandørens egne produkter, hjemmeside eller vilkår, der viser, at data bruges til andre formål.
Gem websider og vilkår, som de ser ud nu. De kan ændre sig, når leverandøren hører om jeres mistanke.
Når data bruges til AI og produktudvikling
En nyere variant er, at leverandøren bruger kundedata til at udvikle eller træne egne funktioner, for eksempel AI. Det står nogle gange i leverandørens generelle vilkår, som er ændret undervejs. Gem de vilkår, der gjaldt, da I indgik aftalen, og de vilkår, der gælder nu. Notér, om I har fået besked om ændringen, og om I har accepteret den, for eksempel ved et klik i en administrationsportal. Det er ofte et spørgsmål om, hvad der står i databehandleraftalen over for de generelle vilkår, og det skal en advokat vurdere.
Underdatabehandlere
Misbruget kan også være sket hos en underleverandør, som jeres leverandør bruger. Find listen over godkendte underdatabehandlere frem, og se, om den part, data er dukket op hos, står på den. Står den ikke på listen, er det i sig selv en oplysning, der skal med i dokumentationen. Bed leverandøren om en opdateret liste, og gem både den gamle og den nye.
Sikr logs, før de forsvinder
Logs over leverandørens adgang er ofte den vigtigste dokumentation, fordi de kan vise, hvad der blev hentet, og hvornår. Men de gemmes typisk kun i en periode, og i nogle tilfælde er det leverandøren selv, der administrerer dem.
- Find ud af, hvilke logs der findes i jeres egne systemer: revisionslog i Microsoft 365 eller Google, logs i CRM eller fagsystemer, API-logs.
- Eksportér dem nu, med dato og navnet på den, der eksporterede.
- Lad ikke leverandøren selv stå for eksporten, hvis det er leverandøren, sagen handler om.
Har leverandøren administratoradgang til jeres systemer, så overvej at begrænse den. Men gør det først, når loggen er sikret, og notér, hvornår adgangen blev ændret.
Er det et brud på persondatasikkerheden?
Hvis persondata er brugt eller videregivet uden for jeres instruks, kan der være tale om et brud på persondatasikkerheden. I så fald har I som dataansvarlig pligt til at vurdere sagen og eventuelt anmelde den til Datatilsynet inden for 72 timer efter, at I er blevet opmærksomme på bruddet. I kan også have pligt til at underrette de berørte kunder.
Dokumentér jeres vurdering, også hvis I når frem til, at der ikke skal anmeldes. Skriv, hvem der vurderede, hvornår, og på hvilket grundlag. Kan anmeldelsen ikke være fuldstændig inden for fristen, kan der typisk suppleres senere. Det vigtige er, at I kan vise, at I handlede, da I blev opmærksomme. → Persondatabrud: dokumentationen inden for 72 timer
Hvem gør hvad
- Ledelse · Ejer sagen og træffer beslutningerne
- DPO eller GDPR-ansvarlig · Vurderer bruddet og anmeldelsespligten
- IT · Kortlægger adgange og sikrer logs
- Advokat · Vurderer aftalen, kravene og kommunikationen
- IT-sagkyndig · Uafhængig sikring og analyse af logs
Det må I ikke gøre
- Konfrontere leverandøren, før I har sikret logs. Leverandøren kan have adgang til at ændre eller slette spor.
- Lukke leverandørens adgang uden at dokumentere først. Så kan det blive uklart, hvad adgangen omfattede.
- Sende flere kundedata rundt internt end nødvendigt. Hold kredsen lille.
- Love kunderne noget, I ikke kan holde. Skriv sagligt og efter aftale med jeres advokat.
- Overse fristen. 72 timer går hurtigt, især hvis mistanken opstår op til en weekend.
Kontakten med leverandøren
Når dokumentationen er sikret, skal I tale med leverandøren. Gør det skriftligt og sagligt. Beskriv, hvad I har konstateret, og bed om en redegørelse for, hvordan data er behandlet, og om de er videregivet. Bed også om, at leverandøren bevarer sine egne logs og data om sagen. Mange databehandleraftaler indeholder pligt for leverandøren til at bistå jer og stille oplysninger til rådighed. Henvis til den.
Gem leverandørens svar som original. Får I ikke svar, eller er svaret uklart, så tal med jeres advokat om næste skridt.
Fremover
Sagen viser ofte, at aftalegrundlaget ikke var stærkt nok. Gennemgå jeres databehandleraftaler, især kravene om bistand ved undersøgelser og udlevering af logs. → Databehandleraftalen: bistand ved undersøgelser og udlevering
Advokatsitet beskriver den juridiske side af tvister mellem dataansvarlig og databehandler:
→ Tvister mellem dataansvarlig og databehandler
Hvornår skal I have hjælp udefra?
Tal med en advokat med det samme, hvis meget tyder på misbrug, fordi både anmeldelsespligten og forholdet til leverandøren kræver juridisk vurdering. En IT-sagkyndig er relevant, når logs skal sikres og analyseres uafhængigt af leverandøren, eller når I skal kunne vise præcis, hvilke data der blev hentet og hvornår.
Læs også: Leverandøren har faktureret timer, der ikke er brugt · Backuppen virkede ikke: dokumentér, før I kræver erstatning
→ Tvist med en IT-leverandør eller en kunde · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
