Databehandleraftaler og databehandlertilsyn

Hvad er en databehandleraftale?

Kommunen er forpligtet til at beskytte borgers personoplysninger, blandt andet på grund af GDPR.

Hvis en leverandør skal behandle personoplysninger på vegne af kommunen i forbindelse med leveringen af en ydelse, service eller løsning, bliver leverandøren databehandler, og kommunen er dataansvarlig, og der skal foreligge en databehandleraftale imellem dem.

En databehandleraftale (DBA) er en skriftlig aftale mellem en dataansvarlig og en databehandler om, hvordan personoplysninger må behandles. Aftalen er et krav i EU’s databeskyttelsesforordning (GDPR), når en leverandør behandler personoplysninger på vegne af en offentlig myndighed.

Ifølge GDPR-forordningen (art. 28, stk. 3) skal der indgås en kontrakt, som beskriver rammerne for denne behandling – det er databehandleraftalen.

I BIF tager vi udgangspunkt i vores egen skabelon, som er baseret på Datatilsynets databehandleraftaleskabeloner. Den kan ses her: Datatilsynets skabelon til databehandleraftaler.

Dataansvarlig og databehandler

Når kommunen indgår en aftale med en leverandør, skal rollerne være tydeligt afklaret:

• Kommunen er Dataansvarlig, dvs. den part, der bestemmer formål og hjælpemidler til behandlingen af personoplysninger.
• Leverandøren er Databehandler, dvs. den part, der behandler personoplysninger på vegne af kommunen.

Behandling må ikke gå i gang før databehandleraftalen er på plads

Før leverandøren må behandle personoplysninger på kommunens vegne, er der krav om, at databehandleraftalen er udformet og godkendt, samt underskrevet af både dataansvarlig og databehandler.

Som leverandør skal du derfor være opmærksom på, at:

• teknisk drift, test med rigtige data, migrering, support mv. ikke må påbegyndes, før aftalen er underskrevet,
• ændringer i opgaven, der påvirker databehandlingen (fx nye funktioner, nye underleverandører eller nye typer data), kan kræve en opdateret databehandleraftale eller et tillæg,
• der for hver kontrakt skal udarbejdes en databehandleraftale, selvom leverandøren evt. har flere kontrakter med kommunen, da databehandleraftalen omfatter den specifikke behandling af data for den enkelte kontrakt.

Hvis du som leverandør er i tvivl om, hvilke krav der gælder for din løsning, skal du kontakte kommunen, før du påbegynder behandlingen af personoplysninger.

Tilsyn med databehandleraftaler

Kommunen har som dataansvarlig pligt til løbende at føre tilsyn med, at databehandleren overholder databehandleraftalen. Som leverandør skal du derfor være forberedt på at kunne dokumentere, at dine processer, systemer og sikkerhedsforanstaltninger lever op til kravene.

Tilsynet kan ske på flere måder, afhængigt af opgavens karakter, risikoniveauet og datatyperne, der behandles.

Da kommunen ofte behandler meget sensitive oplysninger - også ofte om særligt udsatte borgere - vil kommunen have høje krav til omfanget af tilsynet. Det betyder i praksis, at mange leverandører vil være forpligtede til at levere en revisionserklæring. Der er forbundet væsentlige omkostninger med udarbejdelse af en revisionserklæring. Databehandleren skal derfor være opmærksom på at indregne disse omkostninger i prisen i de tilfælde, hvor der skal leveres en revisionserklæring.

Du kan læse mere om de forskellige tilsynskoncepter her: Datatilsynets vejledning om tilsyn med databehandlere (oktober 2021).