Databehandlere og databehandleravtaler

Nesten ingen nettsteder behandler personopplysninger helt alene. Noen leverer nettsidene, noen sender e-post, noen måler trafikk. Dette kapitlet er for deg som vil vite hvem som har ansvaret når en leverandør håndterer opplysninger for en virksomhet, og hva loven krever av avtalen mellom dem. Til slutt viser vi hvordan roller, avtaler og ansvar skal vurderes i et leverandørforhold.

Hva loven krever

To roller: behandlingsansvarlig og databehandler

Personvernforordningen skiller mellom den som bestemmer og den som utfører. Den behandlingsansvarlige er den som «alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes»¹. En databehandler er den som «behandler personopplysninger på vegne av den behandlingsansvarlige»².

Vår vurdering: rollen følger av hva som faktisk skjer, ikke av hva partene kaller hverandre. Forordningen peker samme vei: overtrer en databehandler reglene «ved å fastsette formålene med og midlene for behandlingen, skal databehandleren anses for å være en behandlingsansvarlig med hensyn til nevnte behandling»³.

Krav til valget av databehandler

Den behandlingsansvarlige skal «bare bruke databehandlere som gir tilstrekkelige garantier for at de vil gjennomføre egnede tekniske og organisatoriske tiltak»⁴. Fortalen nevner hva garantiene særlig gjelder: «dybdekunnskap, pålitelighet og ressurser»⁵. At databehandleren følger godkjente atferdsnormer eller har en godkjent sertifisering, kan brukes som en faktor når garantiene skal påvises ⁶.

Avtalen: hva den skal fastsette

Behandlingen skal være underlagt en avtale eller et annet rettslig dokument som er bindende for databehandleren, og der «gjenstanden for og varigheten av behandlingen, behandlingens art og formål, typen personopplysninger og kategorier av registrerte samt den behandlingsansvarliges rettigheter og plikter er fastsatt»⁷. Avtalen «skal være skriftlig, herunder elektronisk»⁸.

Artikkel 28 nr. 3 lister deretter opp hva avtalen «særlig» skal si om databehandleren. Tabellen gjengir den operative teksten i hver bokstav:

I tillegg skal databehandleren «omgående underrette den behandlingsansvarlige dersom vedkommende mener at en instruks er i strid med denne forordning»⁷. Avtalen kan helt eller delvis bygge på standardavtalevilkår fastsatt av Kommisjonen eller en tilsynsmyndighet ⁹.

Underleverandører (underdatabehandlere)

En databehandler som vil bruke en annen databehandler, trenger forhåndstillatelse: «Databehandleren skal ikke engasjere en annen databehandler uten at det på forhånd er innhentet særlig eller generell skriftlig tillatelse til dette fra den behandlingsansvarlige.»¹⁰ Er tillatelsen generell, skal databehandleren varsle om planlagte endringer og «dermed gi den behandlingsansvarlige muligheten til å motsette seg slike endringer»¹⁰.

Underleverandøren skal pålegges «de samme forpliktelsene med hensyn til vern av personopplysninger»¹¹ som i hovedavtalen, og svikter den, skal den opprinnelige databehandleren «overfor den behandlingsansvarlige ha fullt ansvar»¹¹. Ansvaret forsvinner altså ikke nedover i kjeden.

Hva Datatilsynet sier

Datatilsynet oppsummerer skillet slik: «Den behandlingsansvarlige bestemmer over personopplysningene, mens databehandleren opptrer på vegne av den behandlingsansvarlige. Databehandleren kan derfor bare behandle personopplysninger etter instruks fra den behandlingsansvarlige.»¹² Tilsynet understreker at virksomheten selv må gjøre den endelige vurderingen, og at «Det er viktig at ansvarsplasseringen er klar og dokumentert.»¹³ Rolleavklaringen avgjør hva som kreves: en databehandler krever databehandleravtale, mens utlevering til en selvstendig behandlingsansvarlig krever et behandlingsgrunnlag ¹⁴.

Om selve avtalen skriver tilsynet at «Forholdet mellom en behandlingsansvarlig virksomhet og databehandleren skal være regulert i en databehandleravtale.»¹⁵ Og: «Jo mer omfangsrik, inngripende eller risikofylt behandlingen er, jo mer konkret må avtalen være.»¹⁶ I veiledningen om protokoll minner tilsynet om at «Husk at den behandlingsansvarlige må inngå en databehandleravtale med hver databehandler.»¹⁷

For analyseverktøy på nettsider peker tilsynet på et skille som er direkte relevant for Byggsikt: «Noen verktøy behandler bare personopplysninger på virksomhetens vegne og slik eieren av nettstedet bestemmer. Andre verktøy tar forbehold om at de selv kan bestemme over personopplysningene eller kan bruke dem for sine egne formål.»¹⁸ Tilsynets anbefaling er å «velge verktøy som lover å bare behandle personopplysninger på dine vegne og slik du bestemmer»¹⁹.

Merk at de lagrede utgavene av Datatilsynets to veiledere om databehandlere bare omfatter innledningssidene. Tilsynets eksempler og vurderingsmomenter på de øvrige sidene er ikke i kildelisten, og vi bygger ikke på dem her.

Leverandørforhold i praksis

Det er den faktiske rollen som avgjør hvilke plikter som gjelder. En leverandør som behandler personopplysninger på vegne av virksomheten, er databehandler. En mottaker som fastsetter egne formål og midler, kan være selvstendig behandlingsansvarlig. Samme leverandør kan ha ulike roller for ulike tjenester. ²⁰

En databehandleravtale kan være del av elektronisk aksepterte tjenestevilkår. At en separat signert fil ikke finnes i et dokumentarkiv, viser ikke i seg selv at avtale mangler. Virksomheten må likevel kunne dokumentere hvilke bindende vilkår som gjelder, og at de dekker den faktiske behandlingen og kravene i artikkel 28. ²¹

Informasjon om mottakere av opplysninger som Byggsikt behandler, finnes i personvernerklæringen. Om en leverandør er databehandler, avgjør ikke alene om en overføring ut av EØS er lovlig; det spørsmålet krever en egen vurdering etter kapittel V.

Kilder

• Personopplysningsloven med personvernforordningen (norsk EØS-tekst) ²²
• Datatilsynet — Behandlingsansvarlig og databehandler ¹⁴
• Datatilsynet — Hvordan lage en databehandleravtale ²³
• Datatilsynet — Føre protokoll ²⁴
• Datatilsynet — Råd for analyse og sporing på nettsted ²⁵