Når er man en databehandler?

Når er man en databehandler? Artikel 28 krav

når er man en databehandler afhænger af den faktiske rolle i forhold til personoplysninger. Fejlagtig klassificering skaber store administrative udfordringer og juridiske risici. Forstå de strenge retningslinjer grundigt for at undgå alvorlige overtrædelser og sanktioner i praksis.

Hvad vil det sige at være databehandler under GDPR?

Afgørelsen af, om en virksomhed agerer som databehandler eller dataansvarlig, kan relatere til mange forskellige faktorer og afhænger altid af den specifikke kontekst. En databehandler is grundlæggende en ekstern part, der behandler personoplysninger udelukkende på vegne af en dataansvarlig og efter dennes dokumenterede instruks. Det betyder, at rollen bestemmes af de faktiske aktiviteter og ikke blot af, hvad der står i en kontrakt.

I min tid som rådgiver inden for digital infrastruktur har jeg set utallige mindre virksomheder begå alvorlige fejl, fordi de antog, at teknisk adgang automatisk gjorde dem til databehandlere. Virkeligheden er dog langt mere nuanceret, og den forkerte klassificering kan føre til store administrative udfordringer. Faktisk fastsætter Artikel 28 i databeskyttelsesforordningen meget strenge krav til dette forhold, og overtrædelser kan medføre store sanktioner.^[1] Men der er én kritisk misforståelse omkring kiggeadgang og it-support, som næsten alle overser - jeg vil forklare præcis, hvad denne fælde går ud på, i afsnittet om teknisk adgang længere nede.

Formål og hjælpemidler: Kernen i rollefordelingen

For at forstå din præcise status skal du analysere, hvem der reelt bestemmer formålet med og hjælpemidlerne til behandlingen. Den dataansvarlige besvarer spørgsmålet om, hvorfor oplysningerne indsamles, mens databehandleren blot leverer den tekniske eller praktiske løsning til at udføre opgaven. Hvis din virksomhed selvstændigt begynder at bruge de indsamlede data til egne formål, ændres din status øjeblikkeligt til dataansvarlig med alt det juridiske ansvar, det medfører.

Mange vejledninger hævder, at man slavisk skal følge en fastlåst skabelon for at vurdere dette. Efter min erfaring er det dog bedre at kigge på den økonomiske og operationelle virkelighed: Hvis du har frihed til at vælge, hvilke specifikke personoplysninger der skal gemmes, er du sjældent blot en behandler. Jeg har selv siddet i situationer, hvor vi måtte stoppe et helt softwareprojekt i to uger, fordi vi opdagede, at vores system undervejs traf selvstændige beslutninger om datalagring uden kundens accept.

Hvornår skal man have en databehandleraftale?

Kravet om en skriftlig databehandleraftale udløses i samme sekund, som en dataansvarlig overlader personoplysninger til en ekstern leverandør, hvis kerneydelse indebærer behandling af disse data. Aftalen skal sikre, at databehandleren implementerer de nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger. Typiske eksempler omfatter cloud-baserede CRM-systemer, eksterne lønadministrationsbureauer eller hostingudbydere.

Et andet kritisk element i denne relation er håndteringen af sikkerhedsbrud. Hvis der sker et databrud hos databehandleren, skal denne underrette den dataansvarlige uden unødig forsinkelse. Den dataansvarlige har herefter en frist på maksimalt 72 timer til at anmelde bruddet til Datatilsynet.^[2] Denne korte tidsramme kræver, at kommunikationsvejene mellem parterne er fuldstændig afklarede og testede på forhånd.

Fælder og misforståelser: Teknisk adgang er ikke lig med status

Her er den kritiske misforståelse, som jeg nævnte tidligere i artiklen: Ren teknisk adgang eller kortvarig kiggeadgang gør ikke automatisk en virksomhed til databehandler. Hvis en ekstern håndværker eller en it-supporter logger ind via fjernstyring for at løse et akut teknisk problem, er persondatabehandling ikke deres kerneydelse. I sådanne tilfælde er forskel på dataansvarlig og databehandler helt central at kende, og en traditionel fortrolighedserklæring eller en tavshedsaftale er den korrekte juridiske løsning, ikke en fuld databehandleraftale.

Det er en udbredt fejl at tro, at jo flere databehandleraftaler man underskriver, desto mere sikker er man. Det er forkert. Unødvendige aftaler mudrer det juridiske ansvarsbillede og skaber administrativt spild. Kendsgerningen er klar: Hvis du ikke har til formål at behandle data på vegne af kunden, men blot har brug for midlertidig adgang for at reparere et system, skal du vide, hvornår skal man have en databehandleraftale, og ellers holde dig fra dem.

Sammenligning af roller: Dataansvarlig vs. Databehandler

Dataansvarlig

1. Bærer det overordnede ansvar over for de registrerede og myndighederne
2. Afgør hvorfor og hvordan personoplysninger skal behandles i virksomheden
3. Skal anmelde brud til Datatilsynet inden for en frist på 72 timer

Databehandler

1. Ansvarlig for at overholde instruksen og sikre data mod uautoriseret adgang
2. Behandler udelukkende personoplysninger efter den dataansvarliges dokumenterede instruks
3. Skal straks underrette den dataansvarlige ved brud, ikke myndighederne direkte

Mettes webshop i København: Den svære start med hostingleverandører

Mette, som ejer en mindre tøjforretning i København, etablerede en ny webshop og skulle vælge en ekstern partner til at håndtere kundedata. Hun var frustreret, fordi hun ikke kunne gennemskue det juridiske ansvar ved datadeling.

Første forsøg involverede en simpel aftale med en lokal it-konsulent uden en formel kontrakt. Dette skabte hurtigt problemer, da konsulenten ændrede i databasestrukturen uden Mettes vidende.

Vendepunktet kom, da Mette indså, at hun som den dataansvarlige bar hele risikoen over for kunderne. Hun opsagde samarbejdet og fandt en professionel hostingpartner med en klar instruksaftale.

Efter implementeringen af en korrekt kontraktstruktur faldt svartiden på hendes datakontrol markant, og hun opnåede fuld compliance uden eksterne konsulentomkostninger inden for 30 dage.