En databehandleravtale regulerer forholdet mellom en behandlingsansvarlig og en leverandør som behandler personopplysninger på dennes vegne. Artikkel 28 nr. 3 i personvernforordningen krever en skriftlig avtale eller et annet rettslig dokument, også i elektronisk form. Skytjenester, lønnssystemer og kundestøtte kan være eksempler, men leverandørens rolle må vurderes for den konkrete tjenesten. Avtalen skal beskrive behandlingen og gjøre pliktene gjennomførbare. En signatur alene viser ikke at innholdet er riktig eller at leverandøren faktisk følger det.
Denne artikkelen forklarer når en databehandleravtale kreves, hvilke punkter artikkel 28 nr. 3 gjør obligatoriske, hvordan ansvaret fordeler seg, og hvilke feil som er mest vanlige. Personvernforordningen gjelder i Norge gjennom personopplysningsloven og EØS-avtalen.
Når kreves en databehandleravtale?
En databehandleravtale kreves så snart en tredjepart behandler personopplysninger på vegne av den behandlingsansvarlige, etter dennes instruks. Det avgjørende er ikke hva partene kaller hverandre, men hvem som bestemmer formålet og midlene for behandlingen. Bestemmer virksomheten selv hvorfor og hvordan opplysningene behandles, mens leverandøren bare utfører oppgaven, er leverandøren databehandler og artikkel 28 gjelder.
Grensen mot behandlingsansvarlig er praktisk viktig. En leverandør som selv bestemmer formålet – for eksempel en bank, en advokat eller et forsikringsselskap som behandler dine opplysninger for egne lovpålagte formål – er ikke databehandler, men selvstendig behandlingsansvarlig, og da gjelder ikke artikkel 28. Feil rollefordeling gir feil kontrakt, og er en klassisk kilde til brudd.
Hva sier artikkel 28 om databehandlerens plikter?
Artikkel 28 nr. 1 slår fast at den behandlingsansvarlige bare skal bruke databehandlere som gir tilstrekkelige garantier for at behandlingen oppfyller kravene i forordningen. Det innebærer en plikt til å vurdere leverandørens sikkerhet og rutiner før avtale inngås – ikke bare å innhente et signert dokument i etterkant. Artikkel 28 nr. 2 og 4 regulerer bruk av underdatabehandlere, som krever forhåndsgodkjenning fra den behandlingsansvarlige.
Hva må databehandleravtalen inneholde?
Artikkel 28 nr. 3 krever at avtalen beskriver behandlingen og den behandlingsansvarliges plikter og rettigheter. Avtalen skal som et minimum også angi:
- Gjenstand, varighet, art og formål med behandlingen, kategoriene av opplysninger og registrerte, og den behandlingsansvarliges plikter og rettigheter i oppdraget, blant annet hvordan instrukser gis og hvordan valget mellom tilbakelevering og sletting utøves.
- At databehandleren bare behandler opplysninger etter dokumenterte instrukser fra den behandlingsansvarlige, også ved overføring til tredjeland, og umiddelbart underretter den behandlingsansvarlige hvis en instruks etter databehandlerens mening strider mot GDPR eller annen relevant personvernlovgivning.
- At personer med tilgang er underlagt taushetsplikt.
- At databehandleren gjennomfører sikkerhetstiltakene etter artikkel 32.
- Vilkårene for bruk av underdatabehandlere (forhåndsgodkjenning, samme forpliktelser videreføres).
- At databehandleren bistår den behandlingsansvarlige med å oppfylle de registrertes rettigheter etter kapittel III.
- At databehandleren bistår med sikkerhet, avviksmelding, personvernkonsekvensvurdering og forhåndsdrøfting etter artikkel 32–36.
- At databehandleren ved avtaleslutt, etter den behandlingsansvarliges valg, sletter eller tilbakeleverer opplysninger og sletter eksisterende kopier, med mindre lov krever lagring; og at leverandøren gjør nødvendig informasjon tilgjengelig og muliggjør revisjon.
En mal for databehandleravtale kan brukes som utgangspunkt, men må tilpasses den faktiske tjenesten og vedleggene. EU-kommisjonen har også vedtatt standardkontraktsklausuler for artikkel 28 (gjennomføringsbeslutning (EU) 2021/915); de gjelder forholdet mellom behandlingsansvarlig og databehandler og må ikke forveksles med klausuler for tredjelandsoverføring.
Hvem har ansvaret hvis noe går galt?
Den behandlingsansvarlige må velge en leverandør med tilstrekkelige garantier og beholder ansvaret for egne beslutninger om formål, grunnlag og rettigheter. Databehandleren har også selvstendige plikter etter GDPR, blant annet om instrukser, sikkerhet og varsling. Ved erstatningskrav må ansvaret vurderes etter artikkel 82 og de konkrete forholdene; det er for enkelt å si at én part alltid bærer hele ansvaret. Begge har interesse av at avtalens bistand og varsling fungerer i praksis.
Databehandleravtale i praksis
En god databehandleravtale henger tett sammen med behandlingsprotokollen: hver databehandler som fremgår av protokollen, skal ha en gyldig avtale, og hver avtale skal svare til en behandling i protokollen. Når de to dokumentene ikke stemmer overens, er det som regel avtaler som mangler for «usynlige» leverandører – ticketsystemer, analyseverktøy, backup-leverandører eller arkivdestruksjon.
Skytjenester gjør det særlig viktig å undersøke hvor opplysningene er lagret og hvem som kan få tilgang fra utlandet. En artikkel 28-avtale er ikke i seg selv et grunnlag for overføring utenfor EØS. Å signere en standardavtale uten å lese vedlegg om underdatabehandlere, datalokalisering og tilgang kan skjule viktige forskjeller mellom den avtalte og den faktiske tjenesten. Koble derfor avtalen til den relevante behandlingen i protokollen og til en konkret leverandørvurdering.
Kan man bruke leverandørens standardavtale?
Ja, hvis den oppfyller artikkel 28 og beskriver den faktiske tjenesten. Undersøk særlig hvordan generell godkjenning av underdatabehandlere, revisjon, varsling ved brudd og sletting ved avtaleslutt fungerer. Be om presisering eller endring når en klausul ikke gir den kontrollen behandlingen krever; samme forhandlingspunkt er ikke nødvendigvis relevant i enhver tjeneste.
Hva med felles behandlingsansvar?
Noen ganger passer verken behandlingsansvarlig- eller databehandlerrollen. Bestemmer to eller flere virksomheter formålet og midlene sammen, er de felles behandlingsansvarlige etter artikkel 26 og skal inngå en avtale som fordeler ansvaret for de registrertes rettigheter mellom seg – ikke en databehandleravtale. Typiske eksempler er en felles kampanje, en delt plattform eller et forskningssamarbeid. Feil valg av avtaletype er en reell risiko: en databehandleravtale mellom parter som egentlig er felles behandlingsansvarlige, regulerer ikke det den skal, og lar ansvarsfordelingen stå udefinert. Avklar derfor rollene før du velger avtalemal, og dokumenter vurderingen skriftlig – det er også et av de første spørsmålene Datatilsynet stiller når flere aktører er involvert i samme behandling.
Før avtalen: fastslå rollen og tjenesten
Den samme leverandøren kan være databehandler for kundedata i en SaaS-tjeneste og selvstendig behandlingsansvarlig for egne ansatte eller egen fakturering. Rollen avgjøres for den enkelte behandling, ikke ut fra virksomhetens navn eller om kontrakten bruker ordet «partner». Spør hvem som bestemmer hvorfor opplysningene behandles, hvilke vesentlige midler som brukes, og om leverandøren kan bruke data til egne formål. Hvis partene bestemmer formål og midler sammen, kan artikkel 26 om felles behandlingsansvar være relevant. Datatilsynets rolleveiledning gir et utgangspunkt for denne vurderingen.
Tenk på et lønnssystem. Kunden bestemmer hvilke ansatte som skal få lønn og hvilke opplysninger som legges inn; leverandøren drifter løsningen etter kundens instrukser. Det peker mot et databehandlerforhold for lønnsdataene. Hvis leverandøren derimot vil analysere alle kunders ansatte for et selvstendig kommersielt formål, kan ikke en generell behandlingsinstruks automatisk legitimere dette. Før avtalen signeres, må slik bruk enten avvises eller vurderes som en separat behandling med riktig rolle og grunnlag. Eksemplet er hypotetisk; det er faktiske vilkår og handlinger som avgjør.
Etter artikkel 28 nr. 1 skal den behandlingsansvarlige bare bruke leverandører som gir tilstrekkelige garantier. Be om dokumentasjon som passer til tjenestens risiko: sikkerhetsbeskrivelse, tilgangsstyring, rutiner for sletting, underleverandører og håndtering av hendelser. Et sertifikat kan være relevant, men bare hvis det dekker den tjenesten og perioden du faktisk kjøper. Datatilsynet fremhever kompetanse, pålitelighet og ressurser i vurderingen. Den er en del av valget av leverandør, ikke et vedlegg man finner frem først ved kontroll.
Slik gjør du avtalens vedlegg konkret
Beskriv oppdragets art og formål med vanlige ord: mottak av henvendelser, lagring av ticket, tilgang for støttepersonell og sletting ved avslutning. Angi kategorier av registrerte og data etter det som faktisk kan forekomme, ikke «alle typer personopplysninger». Hvis helseopplysninger ikke skal inn i tjenesten, bør både avtalen og brukerflaten støtte dette. Hvis slike opplysninger likevel kan komme inn ved en feil, beskriv hvem som varsles og hvordan de håndteres. Datatilsynets innholdsveiledning understreker at avtalens rammer må være klare.
Instruksbestemmelsen må vise hvem hos kunden som kan gi nye instrukser og hvordan de dokumenteres. Hvis leverandøren mener en instruks strider mot GDPR eller annen personvernlovgivning, skal den umiddelbart informere den behandlingsansvarlige, slik artikkel 28 nr. 3 siste ledd krever. «Kunden kan instruere ved behov» er vanskelig å bruke hvis en vanlig bruker kan gi en uautorisert ordre om sletting av hele databasen. Samtidig må ikke godkjenningen blokkere en nødvendig sikkerhetshandling når kontaktpersonen er fraværende. Avtal et stedfortrederløp og egnede kontroller av identiteten til den som instruerer.
Sikkerhetsvedlegget bør beskrive tiltak for den aktuelle behandlingen: tilgangsroller, autentisering, kryptering der det er relevant, logging, gjenoppretting og begrensning av ansatte som ser innhold. En liste over produktnavn sier lite om innstillingene kunden faktisk har valgt. Få teknisk ansvarlig til å lese vedlegget og teste om lovet eksport, slettefunksjon og loggtilgang er tilgjengelig i lisensen som kjøpes. Veiledningen om sikkerhetstiltak kan hjelpe med å gjøre vedlegget etterprøvbart.
Underdatabehandlere og endringer
Artikkel 28 nr. 2 krever spesifikk eller generell skriftlig forhåndsgodkjenning før databehandleren engasjerer en annen databehandler. Ved generell godkjenning må leverandøren varsle planlagte tilføyelser eller utskiftninger, slik at kunden får anledning til å motsette seg dem. Avtalen bør derfor fortelle hvor den oppdaterte listen finnes, hvordan varsel gis, hva svarfristen er, og hva som skjer ved innsigelse. En skjult endring på et nettsted som ingen hos kunden følger, gir liten praktisk kontroll.
Underdatabehandleren må pålegges de samme relevante personvernforpliktelsene som hovedleverandøren. Hovedleverandøren beholder etter artikkel 28 nr. 4 fullt ansvar overfor den behandlingsansvarlige hvis underdatabehandleren ikke oppfyller sine forpliktelser. Be om en forklaring på hvordan dette er sikret i leverandørkjeden. Opplysninger om geografisk tilgang og tekniske operasjoner må også samsvare med eventuell overføringsvurdering. En EU-adresse på fakturaen avgjør ikke alene om et tredjeland får tilgang.
Bistand må kunne leveres innen fristen
Hvis en person ber om innsyn eller sletting, trenger kunden kanskje søk, eksport, retting eller fjerning i leverandørens system. Skriv ned hvilke identifikatorer som kan brukes, hvem som åpner saken, hvordan opplysningene sendes sikkert og hvordan resultatet bekreftes. En generell klausul om å «bistå ved forespørsler» er lite verd hvis ingen vet om funksjonen finnes. Dette er særlig viktig ved korte svarfrister og ved data som ligger i flere integrasjoner.
Ved brudd på personopplysningssikkerheten skal databehandleren varsle kunden uten ugrunnet opphold. Kunden må deretter vurdere sin egen melding til Datatilsynet og eventuelt til personene. Avtal døgnbemannet eller annen realistisk kontakt der tjenesten krever det, hva første varsel minst skal inneholde, og hvordan ukjent informasjon suppleres. Et kontraktsfestet mål på for eksempel et antall timer kan være klokt, men er et avtalt driftsmål, ikke en universell lovfrist for alle databehandlere.
Avtaleslutt og kontroll
Ved slutten av tjenesten skal kunden kunne velge sletting eller tilbakelevering av personopplysninger, med de lovbestemte unntakene som artikkel 28 nr. 3 bokstav g angir. Avklar format på eksport, kontroll av at eksporten kan åpnes, tidspunkt for å stenge tilganger og hvordan eksisterende kopier fjernes. Et generelt «data slettes ved oppsigelse» kan være upraktisk hvis kunden først trenger en fungerende eksport. Planen for leverandøravslutning går nærmere inn på bevis for dette trinnet.
Artikkel 28 nr. 3 bokstav h krever at leverandøren gjør informasjon tilgjengelig for å dokumentere etterlevelse og tillater revisjon, også inspeksjon. Praktiske vilkår kan ta hensyn til sikkerhet og andre kunder, men må gi en reell mulighet til å undersøke den konkrete tjenesten. Avtal hva som skjer ved et alvorlig avvik, ikke bare ved en planlagt årlig gjennomgang. Oppbevar riktig avtaleversjon sammen med vedlegg og en logg over endringer; et utkast i en delt mappe er ikke nødvendigvis teksten partene faktisk avtalte.
Vanlige feil
- Feil rollefordeling. Å inngå databehandleravtale med en part som egentlig er selvstendig behandlingsansvarlig – eller omvendt.
- Å glemme underdatabehandlerne. Uten oversikt over hvem leverandøren selv bruker, mister man kontroll over hvor opplysningene faktisk havner.
- Tomt sikkerhetsvedlegg. «Tiltak i tråd med bransjestandard» oppfyller ikke artikkel 32. Beskriv konkrete, etterprøvbare tiltak.
- Ingen fungerende avviksvarsling. GDPR krever at databehandleren varsler den behandlingsansvarlige uten ugrunnet opphold. Avtal kanal og et praktisk tidsmål som gir rom for egen vurdering av 72-timersfristen.
- Ingen oppfølging. Avtalen er ikke et dødt dokument. Kontroller vedleggene og endringer i underdatabehandlere årlig.
Ofte stilte spørsmål
Er databehandleravtale obligatorisk også for små leverandører?
Ja. Artikkel 28 nr. 3 setter ingen terskel. Så snart en tredjepart behandler personopplysninger på dine vegne, kreves en skriftlig avtale, uansett leverandørens størrelse eller datamengden. Et enkeltpersonforetak som fører regnskapet ditt, trenger like fullt databehandleravtale.
Hva risikerer man uten databehandleravtale?
Manglende avtale er et selvstendig brudd på artikkel 28 og kan gi overtredelsesgebyr på inntil 10 millioner euro eller 2 prosent av global årsomsetning etter artikkel 83 nr. 4. I tillegg står ansvarsfordelingen udefinert dersom det oppstår et sikkerhetsbrudd, noe som svekker virksomhetens stilling betydelig.
Hvem skal skrive databehandleravtalen?
I praksis legger leverandøren ofte fram sin standardavtale. Juridisk er begge parter ansvarlige for at avtalen finnes og er tilstrekkelig. Datatilsynet kan sanksjonere både den behandlingsansvarlige og databehandleren for mangelfulle avtaler.
Hvor lenge må en databehandleravtale oppbevares?
Avtalen bør oppbevares så lenge behandlingsforholdet varer, og en periode etterpå for å kunne dokumentere etterlevelse og håndtere eventuelle senere krav. Datatilsynet kan be om å se avtalen under en kontroll, også for avsluttede forhold dersom behandlingen pågikk i kontrollperioden. En avtale som ikke lenger finnes for en behandling som faktisk fant sted, er vanskelig å forsvare.
Konklusjon
Databehandleravtalen setter rammene for behandling på vegne av en annen. Artikkel 28 nr. 3 krever konkret innhold om instruks, taushet, sikkerhet, bistand, avslutning og kontroll. Kartlegg leverandørene mot behandlingsprotokollen, bruk avtalemalen som utgangspunkt og kontroller vedleggene om sikkerhet og underdatabehandlere før signering. Dokumenter deretter endringer og faktisk oppfølging; avtalen må kunne brukes gjennom hele tjenestens levetid.
Denne artikkelen gir generell informasjon om artikkel 28 og utgjør ikke juridisk rådgivning.
Praktisk oppfølging i tilknyttede systemer
Ved leverandørbytte gir planen for tilbakelevering og slettebekreftelse et konkret arbeidsgrunnlag for eksport, gjenværende kopier og stenging av forbindelser. Oppsigelse av abonnementet er ikke alene bevis på avsluttet behandling.
Når materialet også omtaler andre, bruk arbeidsrutinen for innsyn og sladding til å vurdere opplysningene enkeltvis, bevare forståelig sammenheng og kontrollere at skjult tekst ikke følger med utleveringen.