Behandlingsansvarlig eller databehandler – hvem er bedriften min?

Hvem bestemmer formålet, avgjør hvem som er hva

Priya samler inn navn, adresse og kjøpshistorikk for å levere klær hun har solgt, og der er hun utvilsomt behandlingsansvarlig. Hun bestemmer selv hvorfor opplysningene samles inn, hvor lenge de beholdes, og hvem som får tilgang. Regnskapsføreren hennes behandler de samme opplysningene for å føre regnskapet, men gjør det etter Priyas instruks og for hennes formål, ikke sitt eget. Det gjør regnskapsføreren til databehandler, med de pliktene det følger, som å bare bruke dataene til det avtalt formålet og å slette dem når oppdraget er over. Så langt er rollefordelingen grei. Problemet oppsto da en tredje aktør kom inn i bildet med en helt annen agenda enn å bare utføre en oppgave etter instruks.

Chatboten som endret hvem som styrte dataene i praksis

Leverandøren av kundeservice-chatboten Priya kjøpte, brukte i utgangspunktet samtalene til å svare kundene i sanntid, en klassisk databehandler-oppgave utført etter Priyas instruks. Men i standardavtalen sto det også at leverandøren kunne bruke anonymiserte samtaledata til å trene og forbedre sine egne modeller, uavhengig av Priyas nettbutikk. Det andre formålet er ikke lenger noe Priya har bestemt, det er leverandørens eget, og for den delen av behandlingen er leverandøren selv behandlingsansvarlig, ikke databehandler for Priya. Hadde Priya signert avtalen leverandøren først sendte, der hun selv var oppført som databehandler for leverandørens systemer, hadde hun i realiteten tatt på seg plikter og ansvar som ikke hørte til henne, mens leverandøren fraskrev seg sitt eget.

Felles behandlingsansvar: når begge parter bestemmer sammen

Noen ganger bestemmer to virksomheter formål og midler sammen, og da snakker vi om felles behandlingsansvar. Det kan for eksempel skje i et samarbeid der Priyas nettbutikk og en logistikkpartner sammen designer et lojalitetsprogram og deler data om kundenes leveringspreferanser for å forbedre begges tjenester. Da må partene ha en ordning som klargjør hvem som gjør hva overfor de registrerte, men begge er fortsatt ansvarlige utad, og en kunde kan i praksis rette et innsynskrav mot hvilken som helst av dem. Løsningen for chatbot-saken ble til slutt en ny avtale der leverandøren var databehandler for kundeservicedelen og selvstendig behandlingsansvarlig, med eget rettslig grunnlag, for treningsdataene, med klare skiller mellom de to rollene i samme dokument.

Konsekvensen av å bytte roller i en avtale du ikke leste nøye

Hadde Priya signert den første avtalen uten å reagere, ville hun ha påtatt seg plikter som databehandler for et system hun verken kontrollerte eller forsto, samtidig som hun fortsatt var behandlingsansvarlig for de samme kundeopplysningene i sin egen nettbutikk. Ved et tilsyn fra Datatilsynet er dette akkurat den typen uklarhet som skaper problemer, fordi ansvaret da havner feil sted, og bedriften som burde ha kontroll, ikke har den. Sjekk derfor alltid hvem som faktisk bestemmer formålet før du signerer en avtale om et nytt system, spesielt når leverandøren, som med Priyas chatbot, også har egne planer for dataene som ikke handler om å hjelpe kundene dine.

Praktisk sett løste Priya dette ved å be leverandøren om en revidert avtale med to atskilte deler: én der leverandøren er databehandler for kundeservicefunksjonen, med plikt til å følge instruksene hennes og slette samtaledata etter en fastsatt periode, og én der leverandøren tydelig er behandlingsansvarlig for egen modelltrening, med informasjon til kundene om at anonymiserte data kan brukes til det formålet med mindre de reserverer seg. Endringen tok halvannen uke og noen e-poster fram og tilbake, men den flyttet ansvaret dit det faktisk hørte hjemme, og ga Priya et dokument hun kunne vise fram hvis noen spurte hvordan chatboten behandlet kundedataene. Den samme oppdelingen bør enhver liten nettbutikk kreve av en leverandør som både utfører en tjeneste og har egne planer for dataene, i stedet for å godta én avtale som prøver å dekke begge deler med vage formuleringer.

Priya sammenlignet etter hvert chatbot-saken med noe hun kjente fra en helt annen kant av virksomheten: forholdet til regnskapsføreren, som krever egen databehandleravtale fordi byrået også bare behandler opplysninger etter hennes instruks. Der var rollefordelingen aldri i tvil, nettopp fordi regnskapsføreren ikke har noe eget formål med kundedataene utover å føre regnskapet. Chatbot-leverandøren var mer glidende, fordi selskapet både utførte en tjeneste for Priya og samtidig hadde egne kommersielle interesser i dataene som gikk gjennom systemet. Jo flere formål en leverandør har med de samme opplysningene, desto viktigere blir det å skrive rollene tydelig i avtalen, i stedet for å anta at én standardformulering dekker alt.

Hvorfor det ikke holder å stole på leverandørens standardavtale

Mange leverandører sender ut en standardavtale som ser ryddig ut, men som i realiteten er skrevet for å beskytte leverandøren, ikke for å beskrive rollene riktig for akkurat din virksomhet. Priyas erfaring viser hvorfor det ikke holder å bla forbi vilkårene og signere: en avtale som definerer deg som databehandler for en tjeneste du verken kontrollerer formålet eller midlene for, er ikke en formalitet, den er en reell overføring av ansvar. Les derfor alltid gjennom hvem som faktisk bestemmer hva opplysningene skal brukes til, før du ser på hvilken tittel avtalen gir deg. Er svaret at leverandøren bestemmer det meste selv, bør avtalen også si det, ikke det motsatte. Denne gjennomgangen hører naturlig hjemme i den samme runden som resten av GDPR-arbeidet i en småbedrift, fordi rollefordelingen ligger til grunn for nesten alt det andre, fra hvem som skal signere databehandleravtaler til hvem som svarer når en kunde ber om innsyn.

Kort oppsummert

• Behandlingsansvarlig bestemmer formålet med behandlingen, mens databehandler utfører oppgaven etter instruks uten eget formål.
• En leverandør som bruker data til egne formål ved siden av oppdraget, er behandlingsansvarlig for den bruken, ikke databehandler.
• Ved felles behandlingsansvar bestemmer to virksomheter formål og midler sammen, og begge kan holdes ansvarlige overfor kunden.
• Sjekk alltid hvem som er behandlingsansvarlig og hvem som er databehandler før du signerer en avtale om et nytt system som håndterer kundedata.
• Feil rollefordeling i avtalen flytter plikter til feil part, og gjør det vanskeligere å svare riktig hvis Datatilsynet spør.