Hjemmel og kilde
Personvernforordningen artikkel 28 om databehandlere og kravene til databehandleravtalens innhold.
Hvem som er databehandler
Databehandleren er den som behandler personopplysninger på dine vegne og etter din instruks. I en elektrikerbedrift er det typisk fagsystemet, regnskapssystemet, lønnssystemet, e-post- og filtjenesten, og eventuelt et lagringssted for bilder og dokumentasjon.
Regnskapsføreren din kan være databehandler for noen tjenester og selvstendig behandlingsansvarlig for andre, avhengig av hva hun gjør. Det bør avklares i avtalen, ikke antas.
Hva avtalen må inneholde
Forordningen lister kravene: formålet og varigheten, typen opplysninger og kategoriene av registrerte, at behandling bare skjer etter instruks, taushetsplikt, sikkerhetstiltak, regler for bruk av underleverandører, bistand ved innsynskrav og avvik, og hva som skjer med dataene når avtalen opphører.
De fleste leverandører har en ferdig avtale. Les den likevel — særlig punktene om underleverandører, om hvor dataene lagres, og om hva som skjer med dataene dine hvis du sier opp abonnementet.
- Kartlegg hvilke systemer som behandler personopplysninger.
- Innhent avtale fra hver leverandør, og arkiver dem samlet.
- Sjekk hvor data lagres og hvilke underleverandører som brukes.
- Avklar hva som skjer med dataene ved opphør.
Uttrekk ved opphør er det viktigste punktet
Punktet folk angrer mest på å ha oversett, er hva som skjer med dataene når abonnementet avsluttes. Får du et fullstendig uttrekk i et format du kan bruke, eller får du en PDF-eksport uten struktur? Hvor lenge er dataene tilgjengelige etter oppsigelse?
Dette er også et bokføringsspørsmål: du har oppbevaringsplikt i fem år, og den plikten forsvinner ikke fordi du byttet leverandør. Ta uttrekket før du sier opp, og lagre det et sted du fortsatt har tilgang til.
Vanlige spørsmål
Trenger vi avtale med en leverandør som bare drifter serverne?
Har leverandøren tilgang til personopplysninger som del av driften, er de databehandler og avtale kreves. Ren levering av strøm eller lokaler er noe annet.
Hva om leverandøren bruker underleverandører i utlandet?
Overføring ut av EØS krever et gyldig overføringsgrunnlag. Avtalen skal si hvilke underleverandører som brukes og hvor de er, og du skal kunne motsette deg endringer.
Er vi ansvarlige hvis leverandøren gjør en feil?
Som behandlingsansvarlig har du ansvaret overfor de registrerte og overfor Datatilsynet. Databehandleren har egne plikter, men det fritar deg ikke fra å velge og følge opp leverandøren.
Les videre
- Når må jeg melde avvik til Datatilsynet? — Avtalen skal si hvordan leverandøren varsler deg ved brudd.
- Hvor lenge kan jeg lagre kundeopplysninger? — Lagringstidene må også gjelde inne i leverandørens system.
- Databehandleravtale — hvilke leverandører den gjelder — Hvem som er databehandler, og hvilke punkter avtalen etter artikkel 28 må ha.
- GDPR i elektrikerbedriften: slik gjør du det håndterbart — Hvilke opplysninger dere behandler, grunnlaget, lagringstiden og avviksplikten.
- Må bedriften ha personvernerklæring? — Ja i praksis — informasjonsplikten gjelder både kunder og ansatte.