Databehandling hos leverandører: Hvad kræver artikel 28 i GDPR i praksis?

Databehandler er den, der behandler personoplysninger på vegne af og efter instruks fra en dataansvarlig (artikel 4, nr. 8, i GDPR). Typiske tilfælde er hosting og datacentertjenester, software as a service, it-vedligeholdelse med adgang til data eller udsendelse af breve og e-mails på andres vegne.

Der foreligger ikke databehandling, hvor en tjenesteudbyder slet ikke har adgang til personoplysninger eller selv bestemmer formålene med og midlerne til behandlingen.

Efter artikel 28, stk. 3, i GDPR fastlægger aftalen genstanden for og varigheden af behandlingen, behandlingens karakter og formål, typen af personoplysninger, kategorierne af registrerede samt den dataansvarliges forpligtelser og rettigheder. Databehandleren forpligter sig navnlig til kun at behandle oplysninger efter dokumenteret instruks (litra a), at sikre fortrolighed (litra b), at træffe de foranstaltninger, der kræves efter artikel 32 (litra c), at overholde reglerne om underdatabehandlere (litra d), at bistå ved de registreredes rettigheder (litra e) og ved forpligtelserne efter artikel 32-36 (litra f), at slette eller tilbagelevere oplysningerne, når ydelsen ophører (litra g), og at stille alle nødvendige oplysninger til rådighed samt give mulighed for revisioner (litra h).

Aftalen skal indgås skriftligt, hvilket også kan ske elektronisk (artikel 28, stk. 9). Som grundlag kan Europa-Kommissionens standardkontraktbestemmelser anvendes (gennemførelsesafgørelse (EU) 2021/915).

Allerede inden aftalen indgås, skal kunden kontrollere, om leverandøren stiller tilstrækkelige garantier (artikel 28, stk. 1). Hertil hører dokumenterede tekniske og organisatoriske foranstaltninger efter artikel 32 – f.eks. adgangsbeskyttelse, kryptering, sikkerhedskopiering og procedurer for regelmæssig afprøvning.

Godkendte adfærdskodekser eller certificeringer efter GDPR kan anvendes som et element til at påvise tilstrækkelige garantier (artikel 28, stk. 5). De erstatter ikke selve kontrollen.

Leverandøren må kun gøre brug af andre databehandlere med forudgående specifik eller generel skriftlig godkendelse (artikel 28, stk. 2). Ved en generel godkendelse underretter den kunden om alle påtænkte ændringer, og kunden kan gøre indsigelse.

Underdatabehandleren skal pålægges de samme databeskyttelsesforpligtelser; opfylder den dem ikke, hæfter leverandøren over for kunden (artikel 28, stk. 4).

Ofte mangler aftalen helt, eller den blev underskrevet én gang og aldrig set på igen. Lige så hyppige er forældede lister over underdatabehandlere, tekniske og organisatoriske foranstaltninger i form af generiske standardtekster uden relation til ydelsen og manglende regler om sletning ved aftalens ophør.

Overtrædelser af forpligtelserne efter artikel 28 kan efter artikel 83, stk. 4, i GDPR sanktioneres med bøder på op til 10 mio. euro eller op til 2 % af den globale årsomsætning, alt efter hvilket beløb der er størst.

Kriteriekataloget på Vendo4u spørger til de punkter, der har betydning ved en kontrol efter artikel 28 – om der foreligger en databehandleraftale, hvor oplysningerne behandles, og hvilke underdatabehandlere der benyttes – og leverandørerne lægger de tilhørende dokumenter ind. Indkøbere ser oplysningerne for alle leverandører i samme struktur og arkiverer dem med eksporten i deres egne sagsakter.