Når foreligger det et databehandleroppdrag?

Når foreligger det et databehandleroppdrag? Krav om avtale

Å avklare når foreligger det et databehandleroppdrag er helt avgjørende for juridisk sikkerhet i forretningsforhold. Manglende forståelse av regelverket skaper store risikoer for uforutsette sanksjoner og økonomisk ansvar. Ved å identifisere ansvarsforholdene tidlig unngår virksomheten alvorlige lovbrudd og sikrer fulle rettigheter i samarbeidsprosjekter.

Når foreligger det et databehandleroppdrag?

Det foreligger et databehandleroppdrag når en behandlingsansvarlig engasjerer en ekstern part - kjent som databehandleren - til å behandle personopplysninger på sine vegne og etter klare instrukser. Dette forholdet reguleres av strenge personvernregler, og mange opplever det krevende å vurdere grensen mellom egne ansatte og eksterne leverandører.

Nøkkelkriterier for et databehandleroppdrag

For å fastslå om en situasjon utgjør et slikt oppdrag, må man vurdere tre sentrale kriterier: På vegne av andre: Den som utfører oppdraget, behandler opplysningene for den behandlingsansvarlige, aldri for sine egne formål. Ingen bestemmelsesrett: Databehandleren har ikke bestemmelsesrett over hvorfor eller hvordan opplysningene skal behandles, men følger slavisk instrukser fra oppdragsgiveren. Ekstern virksomhet: Parten som behandler opplysningene, må være en separat enhet fra den behandlingsansvarlige.

Typiske eksempler der det foreligger et databehandleroppdrag

I næringslivet oppstår denne problemstillingen daglig. Typiske eksempler inkluderer: 1. En bedrift som bruker en ekstern regnskapsfører til å håndtere lønns- og personopplysninger for de ansatte. 2. En virksomhet som lagrer data i en nettsky, der skyleverandøren har tilgang til eller drifter dataene på vegne av kunden.

Når foreligger det ikke et databehandleroppdrag?

Det finnes situasjoner som ved første øyekast kan virke like, men som faller utenfor regelverket for databehandlere. Et klassisk eksempel er en IT-konsulent som utfører rent fysisk vedlikehold eller support på en server, der hovedformålet ikke er å behandle personopplysninger. Selv om tilgang kan forekomme i praksis, holder det her ofte med en taushetserklæring. Et annet eksempel er to uavhengige behandlingsansvarlige som samhandler der begge har et selvstendig ansvar for egne formål, slik som mellom ulike helseforetak.

Kravet om skriftlig databehandleravtale

Når det faktisk foreligger et databehandleroppdrag, plikter partene etter personvernforordningen (GDPR) å inngå en skriftlig krav til databehandleravtale gdpr. Manglende avtale kan føre til sanksjoner, og det er derfor avgjørende å avklare leverandørforholdet tidlig i prosessen.

Sammenligning: Databehandler vs. Uavhengig tredjepart

For å unngå misforståelser i avtaleforholdet er det nyttig å se på forskjellene mellom en ekstern databehandler og andre typer tjenesteytere.

Databehandler

• Bestemmes av den behandlingsansvarlige; databehandler følger instrukser.

• Krever en lovpålagt skriftlig databehandleravtale (DPA).

• Regnskapsfører eller leverandør av skylagringstjenester.

Uavhengig tjenesteyter / Taushetserklæring

• Utfører teknisk support eller vedlikehold uten formålet om å behandle personopplysninger.

• Ofte tilstrekkelig med en taushetserklæring.

• IT-konsulent på kortsiktig feilretting av maskinvare.

Bedriftens vurdering av skylagring

Daglig leder i en liten bedrift i Bergen ønsket å flytte alle kundelister og ansattdata til en ny nettsky-plattform for å forenkle hverdagen.

Først tenkte de at det bare var å tegne et vanlig abonnement på nett, uten å tenke på hvem som faktisk hadde tilgang til serverne bak tjenesten.

Et dypere dykk i avtalen avslørte at leverandøren lagret og behandlet personopplysningene aktivt på vegne av bedriften, noe som utløste et tydelig krav om databehandleroppdrag.

Bedriften fikk på plass en formell databehandleravtale før overgangen, noe som sikret full kontroll og samsvar med personvernforordningen.