Hvem har ansvaret for databehandleravtale?

Hvem har ansvaret for databehandleravtale? Viktige regler

Å avklare hvem har ansvaret for databehandleravtale er avgjørende for juridisk sikkerhet i alle virksomheter. Feilvurderinger fører til alvorlige økonomiske konsekvenser og potensielle sanksjoner ved kontroll. Forståelse av rollene beskytter personvernet til kundene dine. Les videre for å forstå regelverket grundig og unngå unødvendige feil.

Hvem har ansvaret for databehandleravtale?

Ansvarsfordelingen mellom aktørene i personvernforordningen (GDPR) kan virke komplisert, og det er lett å trå feil i rollene som behandlingsansvarlig og databehandler ansvar. Spørsmålet om hvem som faktisk har ansvaret har flere sider avhengig av om vi snakker om det formelle regelverket, den daglige oppfølgingen eller det økonomiske ansvaret ved et avtalebrudd. Svaret berører både organisatoriske plikter og potensielle konsekvenser fra Datatilsynet.

Den behandlingsansvarliges plikt til å inngå avtale

Den behandlingsansvarlige har det overordnede og primære ansvar for databehandleravtale gdpr. Dette betyr at virksomheten som bestemmer formålet med behandlingen, plikter å sikre at det foreligger en gyldig databehandleravtale før noen ekstern aktør får tilgang til dataene. Manglende avtale er i seg selv et brudd på personvernforordningen som kan føre til reaksjoner.

Hvorfor den behandlingsansvarlige ikke kan fraskrive seg ansvaret

Selv om oppgaven med å behandle data settes ut til en profesjonell leverandør, forblir den behandlingsansvarlige sittende med ansvaret for at personvernet ivaretas. Dette innebærer en plikt til å vurdere leverandørens egnethet og kreve tilstrekkelige sikkerhetstiltak. Å tro at ansvaret forsvinner bare fordi oppdraget er outsourcet, er en klassisk misforståelse som har felt mange virksomheter.

Databehandlerens ansvar for etterlevelse og avtalebrudd

Databehandleren har et direkte ansvar for å følge instruksene som den behandlingsansvarlige har satt opp i avtalen. Dette betyr at leverandøren ikke kan behandle opplysningene til egne formål eller gjøre ting som strider mot det som er avtalt. Hvis databehandleren bryter disse grensene, eller unnlater å etablere påkrevde tekniske og organisatoriske sikkerhetstiltak, vanker det et selvstendig ansvar.

Potensielt erstatningsansvar overfor den behandlingsansvarlige

Ved et avtalebrudd som fører til at den behandlingsansvarlige blir påført bøter eller tap, risikerer databehandleren et potensielt erstatningsansvar. Dette økonomiske ansvaret reguleres ofte gjennom egne mekanismer i selve databehandleravtalen, der det spesifiseres hvem som bærer kostnadene ved sikkerhetsbrudd. Det er her den juridiske risikoen for leverandøren blir synlig i praksis.

Ansvar for underdatabehandlere

En ofte oversekt problemstilling er hvem må ha databehandleravtale når databehandleren benytter underleverandører til å utføre jobben. Hovedregelen er at databehandleren må ha skriftlig forhåndstillatelse fra den behandlingsansvarlige før en underdatabehandler engasjeres. Dersom underdatabehandleren bryter personvernreglene, er det den opprinnelige databehandleren som bærer ansvaret overfor den behandlingsansvarlige for at underleverandøren leverer i henhold til kravene.

Sammenligning av ansvar mellom behandlingsansvarlig og databehandler

Behandlingsansvarlig

• Har ansvar for å sørge for at det inngås en gyldig databehandleravtale.

• Må jevnlig påse at databehandleren følger opp sine forpliktelser.

• Bestemmer formålet og midlene for behandlingen av personopplysninger.

Databehandler ⭐

• Ansvarlig for GDPR-etterlevelse innenfor rammene av gitte instrukser.

• Kan bli holdt erstatningsansvarlig overfor den behandlingsansvarlige ved avtalebrudd.

• Behandler personopplysninger på vegne av den behandlingsansvarlige.

Håndtering av databehandleravtale i en mellomstor norsk bedrift

Bedriften Nordic Tech ønsket å flytte kundedataene sine til en ny skybased leverandør, men hoppet over å kvalitetssikre databehandleravtalen fordi det hastet med lanseringen.

Underveis oppsto det usikkerhet da leverandøren brukte en underleverandør i et land utenfor EØS uten at dette var godkjent på forhånd, noe som skapte full panikk i ledelsen.

Etter rådgivning fra personvernombudet satte selskapet seg ned for å rydde opp, krevde full oversikt over underdatabehandlerne og fikk på plass en revidert avtale.

Erfaringen lærte bedriften at det å ha kontroll på ansvarsforholdene fra start sparer virksomheten for både søvnløse netter og potensielle millionbøter.