Hvis en programvareutvikler får tilgang til personopplysninger på dine vegne, trenger dere en skriftlig databehandleravtale. Den skal si hva utvikleren får gjøre, hvordan dataene beskyttes, hvem som kan få tilgang, hva som skjer ved et avvik, og hvordan dataene slettes når oppdraget er ferdig.
1. Hvem er hvem?
Personvernforordningen (GDPR) skiller mellom to roller. Klikk på en rolle for å se hva den betyr.
Behandlingsansvarlig, databehandler og underleverandør
Koblinger mellom nettbutikk, regnskap og kundesystem flytter ofte kundedata, som vi beskrev i artikkelen om å koble nettbutikk og regnskap. Får en utvikler tilgang til slike data, er han trolig databehandler.
2. Trenger du en databehandleravtale?
Svar ja eller nei på spørsmålene under.
Fem spørsmål
3. Hvilke åtte punkter må avtalen dekke?
GDPR artikkel 28 lister hva en databehandleravtale skal inneholde. Her er det i klartekst. Åpne et punkt for å se hva det betyr, et eksempel og hva som skjer hvis det mangler.
Hva det betyr: Avtalen sier hva behandlingen går ut på, hvor lenge den varer, hva slags opplysninger det gjelder og hvilke personer de gjelder.
Eksempel: Kundenavn, e-post og ordrer fra nettbutikken din, mens prosjektet pågår.
Hopper du over det: Ingen vet hva utvikleren har lov til å gjøre med opplysningene.
Slik gjør du: Skriv en kort liste over opplysningstyper og hvem de gjelder, og få den inn i avtalen.
Hva det betyr: Utvikleren skal bare behandle opplysningene slik du har bestemt skriftlig. Det gjelder også om opplysninger flyttes ut av EU/EØS.
Eksempel: Utvikleren kan ikke bruke kundelisten din til egne formål eller sende den til et land uten at du har sagt ja.
Hopper du over det: Utvikleren kan bruke opplysningene til andre ting.
Slik gjør du: Avtalen skal si at instruksene dine gjelder, og at overføring utenfor EU/EØS krever at du har godkjent det.
Hva det betyr: De som får tilgang til opplysningene hos utvikleren, skal være bundet av taushetsplikt.
Eksempel: En frilanser som hjelper utvikleren, er bundet på samme måte som utvikleren.
Hopper du over det: Opplysningene kan spre seg til flere enn nødvendig.
Slik gjør du: Spør hvem som får tilgang, og at alle er bundet skriftlig.
Hva det betyr: Utvikleren skal ha egnede tekniske og organisatoriske tiltak for å beskytte opplysningene.
Eksempel: Tilgangsstyring, kryptering, logging og at utviklere bare ser det de trenger.
Hopper du over det: Du vet ikke om opplysningene er beskyttet.
Slik gjør du: Be om en kort beskrivelse av tiltakene, og at de står i avtalen eller et vedlegg.
Hva det betyr: Utvikleren kan bare bruke underleverandører hvis avtalen tillater det, og de må ha samme krav som utvikleren.
Eksempel: En skytjeneste utvikleren bruker til å lagre data, regnes som underleverandør.
Hopper du over det: Du vet ikke hvem som har dataene dine.
Slik gjør du: Be om en liste, og avtal at du får beskjed og kan protestere før nye brukes.
Hva det betyr: Utvikleren skal hjelpe deg å svare når noen ber om innsyn, retting eller sletting av sine opplysninger.
Eksempel: En kunde ber om å få slettet alt du har om henne. Utvikleren må kunne finne og slette det.
Hopper du over det: Du kan ikke svare innen fristen fordi du ikke finner opplysningene.
Slik gjør du: Avtal hvordan og hvor raskt utvikleren hjelper deg.
Hva det betyr: Utvikleren skal varsle deg uten ugrunnet opphold hvis det oppstår et avvik, og hjelpe deg med vurderingen. Du skal normalt melde fra til Datatilsynet innen 72 timer etter at du ble kjent med et brudd som medfører risiko.
Eksempel: Noen får tilgang til en kundeliste. Du må få vite det raskt for å rekke fristen.
Hopper du over det: Du får vite om bruddet for sent.
Slik gjør du: Avtal en konkret frist for varsling, og hvem du kontakter.
Hva det betyr: Når oppdraget er slutt, skal opplysningene slettes eller leveres tilbake, etter ditt valg. Utvikleren skal gi deg informasjon som viser at kravene følges, og tillate kontroll.
Eksempel: Testdata slettes etter ferdigstilling, og du får skriftlig bekreftelse.
Hopper du over det: Dataene blir liggende hos utvikleren uten at noen har ansvar.
Slik gjør du: Avtal hva som skjer og når, og be om en bekreftelse.
4. Hvem gjør hva?
| Oppgave | Du (ansvarlig) | Utvikleren (databehandler) |
|---|---|---|
| Bestemme formål og midler | Du | Følger dine instrukser |
| Svare registrerte | Du | Hjelper deg |
| Sikre opplysningene | Du, i dine egne systemer | I sine egne systemer og verktøy |
| Melde avvik til Datatilsynet | Du | Varsler deg uten ugrunnet opphold |
| Slette ved avslutning | Du ber om det | Gjør det og bekrefter |
Du kan flytte oppgaver til utvikleren, men ikke ansvaret overfor de registrerte og Datatilsynet.
5. Hva bør du sjekke før du signerer?
Hak av når du har fått svar.
Åtte ting før du signerer
- Avtalen er skriftlig og signert av begge parter.
- Den lister hvilke opplysninger og hvilke personer det gjelder.
- Utvikleren behandler bare opplysningene etter dine instrukser.
- Hvem som får tilgang er avgrenset, og de er bundet av taushetsplikt.
- Sikkerhetstiltakene er beskrevet.
- Underleverandører er navngitt, og du kan protestere på nye.
- Det er avtalt hvor raskt du får varsel ved et avvik.
- Sletting eller retur er avtalt, med en skriftlig bekreftelse.
Ber du om tilbud på en kobling, bør dette stå i tilbudet. Hva et tilbud ellers bør inneholde, står i artikkelen om hva en kobling koster.
- Å tro at en vanlig kontrakt er det samme som en databehandleravtale.
- Å teste med ekte kundedata uten at avtalen dekker det.
- Å ikke vite hvilke underleverandører som har dataene.
- Å glemme å be om sletting når prosjektet er ferdig.
6. Hva gjør vi ikke?
Vi gir ikke juridisk rådgivning, og denne artikkelen erstatter ikke det. La en jurist se på avtalen din. Hos oss avtales hvor dataene lagres i kartleggingen, og det står i databehandleravtalen. Mer om lagring står i artikkelen om hvor dataene lagres. Datatilsynet publiserer også veiledning om databehandleravtaler.
7. Ofte stilte spørsmål
En skriftlig avtale mellom den som bestemmer hvorfor og hvordan personopplysninger behandles (behandlingsansvarlig) og den som behandler dem på vegne av den ansvarlige (databehandler). Personvernforordningen (GDPR) artikkel 28 krever den når en databehandler brukes.
Ja, hvis utvikleren eller verktøyene hans får tilgang til personopplysninger på dine vegne, for eksempel kundenavn, e-post eller adresser, også under testing eller feilretting. Er du usikker, få en jurist til å vurdere det.
Du er fortsatt behandlingsansvarlig overfor de registrerte og Datatilsynet. Avtalen regulerer hva utvikleren skal gjøre og hjelpe deg med, slik at du kan oppfylle ansvaret ditt. Hvordan ansvar fordeles mellom dere, avtaler dere i kontrakten.
Bare hvis avtalen tillater det. Du bør få vite hvem de er og hva de gjør, og kunne si nei til nye. Underleverandører må være bundet av samme krav som utvikleren.
Avtalen skal si om dataene slettes eller leveres tilbake, og når. Be om en bekreftelse på at det er gjort.
Les videre om personvern
Dette er den første artikkelen i temaet om personvern. Neste handler om hvem som skal se hva i et dashbord.
Dashbord og personvern: hvem skal se hva?
Les artikkelen → Koble systemerSlik kobler du nettbutikken til regnskapssystemet
Les artikkelen → Koble systemerHva koster det å koble to systemer?
Les artikkelen →Se alle artikler i temaet Personvern →
Vil du ha personvern på plass fra start?
Kartleggingen er uforpliktende. Der avtaler vi hvor dataene lagres, og det står i databehandleravtalen.
Book kartlegging