Hvem må man ha databehandleravtale med?

Hvem trenger din bedrift databehandleravtale med? Utover det åpenbare.

Din bedrift er ansvarlig for personopplysningene dere samler inn. Det betyr at dere må ha kontroll på hvor disse opplysningene behandles, og av hvem. En databehandleravtale er det juridiske verktøyet som sikrer dette. Mens mange forstår behovet for avtale med leverandører som åpenbart behandler personopplysninger, som skytjenester og CRM-systemer, er det lett å overse andre viktige områder. Denne artikkelen dykker dypere i hvem du faktisk trenger databehandleravtale med, utover det åpenbare.

Selvsagt trenger du databehandleravtale med de vanlige mistenkte:

• Skytjenester: Leverandører som tilbyr lagringsplass, servere, databaser eller programvare i skyen. Tenk Microsoft Azure, Amazon Web Services, Google Cloud, Dropbox, osv.
• CRM-systemer (Customer Relationship Management): Systemer som lagrer kundeinformasjon, som navn, kontaktinformasjon, kjøpshistorikk, osv.
• Regnskapssystemer: Systemer som inneholder personopplysninger knyttet til fakturering, lønn, og andre økonomiske transaksjoner.

Men listen stopper ikke der. Tenk bredere:

• Markedsføringsbyråer: Byråer som håndterer e-postlister, segmentering av kunder, eller kjører annonser på sosiale medier på dine vegne, behandler personopplysninger.
• Rekrutteringsfirmaer: Firmaer som bistår med ansettelser får tilgang til sensitive personopplysninger fra potensielle kandidater.
• IT-support: Bedrifter som drifter IT-systemene dine har ofte tilgang til data lagret på servere og maskiner.
• Programvareleverandører: Selv om programvaren kjøres lokalt, kan leverandøren ha tilgang til data gjennom oppdateringer, feilsøking eller support.
• Transportører: Ved sending av varer med personopplysninger på emballasjen, fungerer transportøren som databehandler.
• Arkivtjenester: Fysisk eller digital arkivering av dokumenter som inneholder personopplysninger krever databehandleravtale.
• Rengjøringsbyråer: Selv et tilsynelatende uskyldig rengjøringsbyrå kan bli en databehandler hvis de har tilgang til områder med personopplysninger, for eksempel personalmapper.

Husk: Det handler ikke om hva leverandøren gjør, men om de behandler personopplysninger på dine vegne. Dersom svaret er ja, trenger du en databehandleravtale.

Utover standardavtalen: Det holder ikke med en standard databehandleravtale. Avtalen må være spesifikk for tjenesten som leveres og de personopplysningene som behandles. Den må tydelig definere ansvar, sikkerhetstiltak og hva som skjer med dataene etter avtaleperioden.

Ved å være proaktiv og grundig i kartleggingen av dine databehandlere, sikrer du ikke bare compliance med GDPR, men også tilliten til dine kunder og samarbeidspartnere. Ta deg tid til å vurdere alle leverandører og sørg for at de nødvendige avtalene er på plass. Det er en investering i trygghet og et bevis på ansvarlig datahåndtering.