En databehandleraftale er den kontrakt, der skal ligge mellem en dataansvarlig og en databehandler. Den dataansvarlige bestemmer, hvorfor og hvordan personoplysninger bliver behandlet. Databehandleren er den, der behandler dem på den andens vegne og efter instruks. Kravet står i GDPR artikel 28, og aftalen skal være skriftlig.
Hvem er hvad
Rollerne bliver blandet sammen hele tiden. En webshop, der sælger alkohol og skal tjekke kundernes alder, bestemmer selv at tjekket skal laves, og hvordan flowet ser ud. Webshoppen er dataansvarlig. Leverandøren, der kører verifikationen for den, er databehandler.
Det afgørende er ikke, hvem der er størst, eller hvem der har skrevet aftalen. Det er, hvem der bestemmer formålet. En leverandør, der begynder at bruge oplysningerne til sine egne formål, er ikke længere databehandler for den del, og så skal grundlaget findes et andet sted.
Hvad aftalen skal indeholde
Artikel 28, stk. 3 stiller otte obligatoriske punkter op i litra a til h. En aftale, der springer nogle af dem over, opfylder ikke kravet, selv om den hedder det rigtige og er underskrevet af begge parter.
To ting går ofte galt i praksis. Underdatabehandlere bliver ikke skrevet ind, selv om leverandøren reelt bruger en hostingudbyder eller en underleverandør til dele af opgaven. Og aftalen bliver liggende urørt, mens løsningen ændrer sig, så beskrivelsen af behandlingen ikke passer på det, der faktisk sker.
Tilsynet er ikke frivilligt
Den dataansvarlige skal føre tilsyn med sin databehandler. At have papiret er ikke det samme som at have kontrolleret noget.
FSR danske revisorer har sammen med Datatilsynet lavet en standarderklæring til formålet, en ISAE 3000-erklæring om informationssikkerhed og foranstaltninger i henhold til databehandleraftale. Vær opmærksom på forskellen mellem type 1 og type 2. Type 1 siger noget om kontrollernes design på ét tidspunkt. Type 2 dækker en periode, typisk 6 til 12 måneder, og er den eneste af de to, der siger noget om, at kontrollerne faktisk virkede.
Jo mindre der behandles, jo mindre skal aftalen bære
Aftalen er en beskyttelse af oplysninger, der bliver videregivet. Bliver der ingen videregivet, er der tilsvarende mindre at aftale om. Det er en af grundene til, at et alderstjek uden CPR-nummer er nemmere at have med at gøre end et fuldt kundekendskab, hvor identiteten skal kendes og opbevares.