Må vi ha databehandleravtale med regnskapsføreren?
Databehandleravtale trengs så snart en ekstern part behandler personopplysninger på vegne av bedriften din, uten selv å bestemme formålet. Isabela, som driver en nettbutikk for håndlagde smykker, oppdaget at regnskapsbyrået hun hadde brukt i to år aldri hadde sendt henne en slik avtale. Byrået fikk hver måned tilgang til kunde- og lønnsdata for å føre regnskapet, en klassisk databehandler-rolle, men uten avtale forelå det formelt sett ikke noe grunnlag for hvordan opplysningene skulle behandles, oppbevares eller slettes. Isabela oppdaget hullet først da en artikkel om en annen liten bedrift som hadde fått tilsyn fra Datatilsynet, fikk henne til å sjekke egne avtaler en søndag kveld.
Når kreves en databehandleravtale, og når er det ikke nødvendig
Avtalen kreves når en tredjepart behandler personopplysninger etter dine instrukser og for ditt formål, uten selv å være behandlingsansvarlig for den behandlingen. Regnskapsføreren som fører bilagene og lønnskjøringen for Isabelas nettbutikk, er et lærebokeksempel: byrået bestemmer ikke selv hvorfor kundedataene finnes, det gjør Isabela, og byrået utfører oppgaven på hennes vegne. Det samme gjelder plattformen nettbutikken kjører på, fraktleverandøren som mottar adresser for hver forsendelse, og verktøyet som sender ut nyhetsbrevet. Avtale trengs derimot ikke når den andre parten selv er behandlingsansvarlig for sin egen bruk av opplysningene, for eksempel når en bank behandler betalingsdata etter egne regulatoriske krav og ikke etter Isabelas instruks.
Minimumsinnholdet artikkel 28 krever, i praksis
En databehandleravtale skal minst si noe om formålet og varigheten av behandlingen, hvilke typer opplysninger og hvilke kategorier registrerte det gjelder, og databehandlerens konkrete plikter. De viktigste pliktene er at databehandleren bare behandler opplysningene etter instruks fra Isabela, at ansatte hos byrået har taushetsplikt, at det er tatt hånd om nødvendige sikkerhetstiltak, at byrået bistår hvis en kunde krever innsyn, og at data slettes eller returneres når oppdraget avsluttes. Avtalen bør også regulere om byrået bruker underleverandører, for eksempel en skytjeneste for lagring, siden en slik underdatabehandler også må være dekket av tilsvarende forpliktelser. Er dette punktet uklart, vet Isabela ikke egentlig hvor kundenes opplysninger faktisk befinner seg til enhver tid.
Regnskapsbyråets standardavtale: hva du bør lese før du signerer
De fleste regnskapsbyråer har en ferdig standardavtale klar, og jobben for en liten bedrift er som regel bare å be om den og lese den, ikke å forhandle fram noe nytt. Isabela bør likevel sjekke tre ting spesielt: at avtalen faktisk nevner hvilke systemer og underleverandører byrået bruker, at slettefristen samsvarer med det bokføringsloven krever, og at avtalen ikke gir byrået rett til å bruke kundedataene til noe utover selve regnskapsføringen, som egen markedsføring. En standardavtale som er for generell til å nevne noen av delene konkret, bør sendes tilbake med spørsmål før den signeres, ikke signeres i god tro fordi den ser profesjonell ut.
Risikoen ved å mangle avtalen hvis Datatilsynet banker på
Manglende avtale er en av de mest åpenbare feilene et tilsyn fra Datatilsynet kan avdekke, nettopp fordi den er så enkel å sjekke: enten finnes dokumentet, eller så gjør det ikke. For Isabela var risikoen ikke bare et formelt gebyr, men at hun i praksis ikke hadde noen kontroll på hva byrået faktisk gjorde med opplysningene, om de ble lagret trygt, eller om de ble slettet når de skulle. Hun løste det ved å be byrået om standardavtalen samme uke, gå gjennom underleverandørlisten sammen med kontaktpersonen sin, og be om en kort bekreftelse på slettefristene byrået faktisk fulgte i praksis, ikke bare det avtalen sa på papiret.
Avtalen er en del av leverandørforholdet, ikke et sidedokument
Isabela hadde lenge tenkt på dette dokumentet som noe adskilt fra den vanlige avtalen med byrået, nesten som et ekstra skjema hun skulle signere ved siden av. I praksis er den en integrert del av leverandøravtalen som regulerer hele forholdet, og bør leses og forhandles på samme måte som prisen og oppsigelsestiden. Har byrået én standardpris for oppdraget, men et helt annet dokument for hvordan data skal håndteres, er det et tegn på at det er skrevet av en jurist et helt annet sted i organisasjonen, uten at det faktisk er tilpasset akkurat det oppdraget byrået har fått. Be om at begge deler henger sammen, slik at det ikke oppstår selvmotsigelser mellom hva byrået lover å levere, og hva de lover å gjøre med dataene underveis.
Hvem er egentlig databehandler, og hvem er behandlingsansvarlig her
Rollen Isabelas byrå har, henger tett sammen med et spørsmål mange små bedrifter aldri stiller seg: hvem som faktisk er behandlingsansvarlig og hvem som er databehandler i et gitt forhold. Så lenge byrået bare fører regnskap etter Isabelas instruks, er svaret enkelt. Byr byrået i tillegg på egne tilleggstjenester der de selv bestemmer formålet, for eksempel en kredittvurderingstjeneste rettet mot Isabelas kunder, endrer det bildet for den delen av samarbeidet, og avtalen bør si noe om akkurat det skillet, ikke bare anta at alt byrået gjør, skjer etter instruks fra henne.
Kort oppsummert
- En databehandleravtale kreves når en ekstern part behandler personopplysninger etter dine instrukser, uten selv å bestemme formålet.
- Avtalen skal minst dekke formål, varighet, kategorier av opplysninger, taushetsplikt, sikkerhetstiltak, bistand ved innsynskrav og sletting ved avtaleslutt.
- Regnskapsbyråets standardavtale er ofte klar til signering, men sjekk at underleverandører, slettefrister og formål er nevnt konkret.
- Manglende avtale er en av de enkleste feilene Datatilsynet kan avdekke ved et tilsyn, fordi den bare krever å sjekke om dokumentet finnes.
- Be alltid om avtalen skriftlig, og bekreft at slettefristene i praksis samsvarer med det avtalen faktisk lover.