Aftalen skal beskrive den faktiske behandling
En databehandleraftale, ofte kaldet en DPA, supplerer servicekontrakten. Den bliver relevant, når en udbyder behandler personoplysninger på vegne af sin klient. Dette kan ske med hosting, support, distribution af nyhedsbreve eller cloud-applikationer. Det, der betyder noget, er den faktiske brug af dataene, ikke dokumentets titel.
Aftalen bør præcisere ansvarsområder. Den forklarer blandt andet, hvilke behandlingsaktiviteter der udføres, hvilke instruktioner der gælder, og hvordan udbyderen understøtter databeskyttelse. En lang standardtekst er ineffektiv, hvis den beskriver et helt andet produkt. Derfor bør købere gennemgå vilkårene og betingelserne sammen med tilbuddet, den tekniske dokumentation og den planlagte anvendelse.
Om der foreligger databehandling på vegne af en dataansvarlig, og hvilken aftale der kræves, afhænger af det specifikke forhold og gældende lov. En generel tjekliste kan ikke erstatte denne juridiske klassificering. Der bør søges ekspertrådgivning i tilfælde af uklare roller, følsomme data eller usædvanlige behandlingsaktiviteter. Veldefinerede datastrømme, ansvarsområder og kontraktlige detaljer giver et pålideligt faktuelt grundlag for dette.
Dataansvarlige og databehandlere har forskellige roller.
Den dataansvarlige bestemmer formålene og de væsentlige behandlingsmidler. Databehandleren behandler personoplysninger på deres vegne og i henhold til deres dokumenterede instruktioner. Disse termer beskriver databeskyttelsesroller og etablerer ikke et generelt hierarki mellem virksomheder. En stor platformudbyder kan være databehandler, mens en lille kunde fungerer som dataansvarlig for den pågældende behandling.
Rollerne kan variere afhængigt af funktionen. En udbyder kan behandle kundedata på vegne af en anden part, men bruge visse kontrakt- eller faktureringsdata til sine egne formål. I sådanne tilfælde bør den forklare, hvilken rolle den påtager sig for hvilke processer. En generel erklæring om, at alle data kun behandles på vegne af en anden part, er ikke særlig nyttig, hvis produktbeskrivelsen eller privatlivsmeddelelsen også nævner dens egne anvendelser.
En kontrakt kan ikke ændre de faktiske roller blot ved at ændre dens betegnelse. Derfor er det vigtigt at forstå, hvem der træffer beslutning om brugen af dataene, før den underskrives. Hvis udbyderen definerer et nyt formål uafhængigt af kunden, kan dette falde uden for rammerne af den aftalte databehandleraftale. Sådanne afgrænsninger kræver en forståelig forklaring, så ansvar, information til registrerede og andre retsgrundlag kan vurderes korrekt.
Emnet, varigheden og typerne af data kræver specifikke detaljer.
Aftalen bør tydeligt identificere, hvilken tjeneste der leveres, og hvilke personoplysninger der behandles. Generelle formuleringer som "levering af de aftalte tjenester" er ofte utilstrækkelige til at forstå datastrømmen. I et supportsystem kan kontaktoplysninger, beskedindhold og tekniske brugsdata blive påvirket. Kategorierne af registrerede, såsom kunder, medarbejdere eller ansøgere, bør også svare til den faktiske brug.
Behandlingens type og formål er lige så vigtige. Lagring, transmission, evaluering og sletning beskriver forskellige processer. Formålet forklarer, hvorfor de finder sted, for eksempel for at behandle supportanmodninger eller for at drive en kundeplatform. Jo mere præcist denne forbindelse beskrives, jo lettere er det senere at afgøre, om en ny produktfunktion stadig er dækket af kontrakten eller kræver en ny beslutning.
Varigheden skal være passende for tjenesten og sletningsprocessen. Nogle gange fortsætter behandlingen i hele kontraktperioden, mens sikkerhedskopier forbliver i en begrænset periode. Dette bør ikke tilsløres af ubestemt opbevaring. Købere har brug for et realistisk billede af, hvornår aktive data fjernes, hvor længe tekniske kopier bevares, og hvilke juridiske forpligtelser, der kan forhindre øjeblikkelig sletning.
Instruktioner skal rent faktisk fungere i praksis.
Databehandlere bør behandle personoplysninger i henhold til dokumenterede instruktioner, medmindre en juridisk forpligtelse kræver andet. I standardsoftware er en stor del af denne instruktion allerede indlejret i hovedkontrakten, produktvalget og indstillingerne. Databehandleraftalen (DPA) bør være i overensstemmelse med dette. En generel klausul om vilkårlige individuelle instruktioner er af ringe nytte, hvis ingen ved, gennem hvilken kontakt og inden for hvilken teknisk ramme de kan implementeres.
Afklar hvilke ændringer, der betragtes som nye instruktioner. Aktivering af en analysefunktion, en ny lagringsplacering eller længere opbevaringsperioder kan ændre behandlingen. Nogle indstillinger kontrolleres af kunden, andre kun af udbyderen. Købere bør forstå, hvilke muligheder der er tilgængelige, og hvad deres konsekvenser er. En kontrakt kan ikke kompensere for manglende eller vildledende produktkontroller med abstrakte rettigheder.
I henhold til den generelle forordning om databeskyttelse (GDPR) skal udbyderen angive, om de anser en instruktion for at være ulovlig. Aftalen bør beskrive en praktisk procedure for sådanne tilfælde. Hvem vil blive informeret, hvad sker der, indtil sagen er løst, og hvilke behandlingsaktiviteter kan suspenderes? Klart definerede kontaktpersoner og eskaleringskanaler er mere værdifulde end en formulering, der blot gentager det juridiske princip.
Fortrolighed og sikkerhed skal stå i forhold til risikoen
Personer, der behandler data for udbyderen, skal være bundet af fortrolighedsforpligtelser eller underlagt en tilsvarende juridisk pligt. Det er også vigtigt for købere at forstå, hvordan adgangen begrænses i den daglige brug. Kræver support standardadgang til indhold, eller gives der kun adgang til specifikke tilfælde? Roller, tilladelser og logføring bør stemme overens med den lovede service.
De tekniske og organisatoriske foranstaltninger beskriver beskyttelsen af databehandling. Disse kan omfatte adgangskontrol, kryptering, sikkerhedskopiering, gendannelse og regelmæssige revisioner. En simpel liste over velkendte sikkerhedstermer siger ikke meget om deres anvendelse. Købere bør kunne forstå, hvilke data der er beskyttet og hvornår, hvem der kontrollerer nøgler eller adgang, og hvilke foranstaltninger der rent faktisk gælder for det valgte produkt.
Sikkerhed er ikke et statisk aktiv. Systemer og risici udvikler sig, efterhånden som udbydere tilpasser deres infrastruktur. Aftalen bør give mulighed for meningsfulde forbedringer uden subtilt at sænke det aftalte beskyttelsesniveau. Kunder har brug for tilstrækkelig information om væsentlige ændringer. Hvad der udgør en væsentlig ændring, afhænger af tjenesten, men kan omfatte nye lagringssteder, forskellige adgangsmetoder eller fjernelse af en central sikkerhedsforanstaltning.
Andre tjenesteudbydere må ikke forblive usynlige.
Mange udbydere leverer ikke deres tjenester alene. De bruger datacentre, e-mailtjenester eller supportvirksomheder, der kan fungere som yderligere databehandlere. Databehandleraftalen (DPA) bør præcisere, om der gælder en specifik eller generel bemyndigelse. Med en generel bemyndigelse skal kunderne informeres om eventuelle planlagte ændringer og have en reel mulighed for at gøre indsigelse.
En liste over yderligere databehandlere er kun nyttig, hvis den forbliver forståelig. Navn, rolle og behandlingssted hjælper med at vurdere, hvilken del af tjenesten virksomheden håndterer. En simpel samling af virksomhedsnavne uden funktion tilslører datastrømmen. Det bør også være klart, hvor aktuelle oplysninger kan findes, og hvordan kunderne vil blive underrettet om nye eller erstattede udbydere.
Den primære udbyder forbliver ansvarlig for at pålægge sine yderligere databehandlere stort set de samme databeskyttelsesforpligtelser. Købere behøver ikke selv at forhandle hver underleverandørkontrakt, men har brug for tilstrækkelig sikkerhed på tværs af kæden. En indsigelse mod en ny udbyder bør ikke blot være teoretisk. De kontraktlige konsekvenser, mulige alternativer og enhver opsigelsesret skal tydeligt forklares i forbindelse med hovedkontrakten.
Support skal være let tilgængelig for den registreredes rettigheder og hændelser.
Personer kan udøve rettigheder vedrørende deres personoplysninger. Den dataansvarlige er fortsat ansvarlig for behandlingen, men kræver ofte support fra tjenesteudbyderen. Kontrakten bør beskrive, hvordan data kan findes, rettes, eksporteres eller slettes. For en selvbetjeningsfunktion er det vigtigt at præcisere, om den dækker alle relevante data, eller om yderligere anmodninger til udbyderen er nødvendige.
I tilfælde af et brud på persondatasikkerheden skal databehandleren informere den dataansvarlige uden unødig forsinkelse efter at være blevet opmærksom på det. For køberen er det afgørende, hvilke oplysninger de modtager, og hvordan de modtager dem. En supportformular, der er vanskelig at finde, kan spilde værdifuld tid. Udpegede nødkontakter og løbende opdateringer hjælper med at vurdere virkningen, de berørte data og de trufne foranstaltninger.
Support kan også være nødvendig til konsekvensanalyser af databeskyttelse og forespørgsler fra tilsynsmyndigheder. Omfanget og de praktiske begrænsninger afhænger af tjenesten og de tilgængelige oplysninger. Derfor bør generelle supportløfter afstemmes med supportvilkår og potentielle omkostninger. Købere skal kunne forstå, hvilken dokumentation der leveres som standard, og hvornår en særlig undersøgelse eller ekspertbistand aftales separat.
Sletning, returnering og gennemgang kræver en realistisk proces.
Efter afslutningen af tjenesten bør personoplysninger slettes eller returneres efter den dataansvarliges skøn, medmindre der er en juridisk forpligtelse til at opbevare dem. Dette valg skal være teknisk muligt. Købere bør kende det dataformat, de modtager, hvor længe en eksport forbliver tilgængelig, og hvornår aktive systemer slettes. Et ulæseligt eksportformat gør en formel returret praktisk talt værdiløs.
Sikkerhedskopier kan ofte ikke ryddes op individuelt med det samme. I sådanne tilfælde er begrænset lagring, beskyttelse mod normal brug og en sporbar sletningsrutine nødvendige. Erklæringer vedrørende senere fjernelse inden for standardcyklussen bør angive en forståelig tidsramme. Det bør også være klart, om logfiler, supportvedhæftninger og testkopier følger de samme regler eller opbevares længere på grund af andre forpligtelser.
Udbyderen skal give oplysninger for at demonstrere overholdelse af sine forpligtelser og lette revisioner. I udbredte cloudtjenester anvendes ofte uafhængige rapporter, certifikater og standardiserede oplysninger til dette formål. Disse kan være informative, hvis omfanget, tidsperioden og den berørte tjeneste er passende. En mere omfattende ret til revision er fortsat vigtig, men bør tage hensyn til andre kunders sikkerhed, fortrolighed og en forholdsmæssig proces.
En databehandleraftale (DPA) løser ikke automatisk internationale dataoverførsler.
Hvis data behandles uden for Det Europæiske Økonomiske Samarbejdsområde (EØS) eller gøres tilgængelige derfra, opstår der yderligere spørgsmål. En DPA i henhold til artikel 28 er ikke automatisk det fulde retsgrundlag for dette. Købere bør være opmærksomme på behandlingssteder, potentiel fjernadgang og de involverede virksomheder. Det er ikke tilstrækkeligt blot at angive "EU-hosting", hvis support eller administration regelmæssigt kan udføres fra et tredjeland.
Afhængigt af landet og de specifikke omstændigheder kan en tilstrækkelighedsbeslutning, standardkontraktbestemmelser eller andre instrumenter være relevante. Det passende retsgrundlag og eventuelle yderligere nødvendige foranstaltninger skal vurderes for hver specifik dataoverførsel. Kontrakten bør ikke blande forskellige dokumenter med lignende forkortelser. En databehandleraftale (DPA) regulerer databehandling på vegne af en dataansvarlig, mens standardkontraktbestemmelser omhandler forskellige dataoverførselsproblemer afhængigt af applikationen.
Ændringer skal også overvejes. En ny underleverandør eller supportlokation kan ændre en tidligere vurdering. Kunder har derfor brug for information, før den nye behandling begynder, og tilstrækkelig tid til en ordentlig gennemgang. Juridisk rådgivning er især tilrådelig for komplekse dataoverførselskæder. Klare kontraktoplysninger etablerer det faktuelle grundlag, men erstatter ikke den nødvendige juridiske vurdering.
En god aftale kan forklares ved hjælp af produktet som eksempel.
Før underskrivelse bør en kyndig person være i stand til at beskrive dataflowet i enkle vendinger. Hvilke data når udbyderen, hvad bruges de til, hvem har adgang til dem, og hvornår slettes de? Svarene skal være konsistente på tværs af produktet, hovedkontrakten, databehandleraftalen (DPA) og sikkerhedsdokumentationen. Uoverensstemmelser kræver afklaring, ikke antagelsen om, at det mere specifikke bilag automatisk løser alt.
Involver databeskyttelse, informationssikkerhed, indkøb og den ansvarlige afdeling i henhold til risikoniveauet. Hvert perspektiv identificerer forskellige huller: juridiske roller, sikkerhedsforanstaltninger, kontraktlige konsekvenser eller en uegnet produktfunktion. For en lille tjeneste med lav risiko kan gennemgangen forblive håndterbar. Omfattende eller følsom behandling kræver mere dybdegående analyse. Nøglen er en passende gennemgang, ikke den samme mængde dokumentation for hver udbyder.
En klar og forståelig DPA garanterer ikke sikkerhed i sig selv, men den gør verificerbare forventninger transparente. Den forbinder den bestilte behandling med instruktioner, sikkerhedsforanstaltninger, support, underleverandører og ophør af dataanvendelse. Hvis disse udsagn nøjagtigt afspejler den faktiske tjeneste, kan købere bedre vurdere ansvar og identificere ændringer tidligere. Eventuelle resterende juridiske spørgsmål bør derefter behandles gennem kvalificeret juridisk rådgivning, ikke ved at stole på antagelser om standardklausuler.