Å ha en databehandleravtale på plass er en forutsetning for å oppfylle kravene i GDPR. Men det er langt ifra tilstrekkelig.
Reelt personvern handler ikke bare om hva som står i avtalen – men om hva som faktisk skjer i praksis. Følger databehandlerne deres sine forpliktelser? Lever de opp til kravene om sikkerhet, åpenhet og ansvarlighet? Og hvordan vet dere det – ett, to eller fem år etter at avtalen ble signert?
Her får du konkrete tips til hvordan dere systematisk kan følge opp databehandlere over tid – med struktur, dokumentasjon og tydelig ansvarsfordeling.
En databehandler er en ekstern aktør som behandler personopplysninger på vegne av den behandlingsansvarlige – for eksempel en IT-leverandør, skyløsning eller HR-tjeneste. Det kan dreie seg om alt fra registerhåndtering til utsendelser, lagring eller analyser.
For å sikre at disse aktørene håndterer opplysningene riktig, krever GDPR at det finnes en skriftlig avtale – en databehandleravtale – som tydelig regulerer formål, sikkerhetskrav og ansvarsfordeling i behandlingen.
Men selv om en slik avtale finnes, betyr det ikke at databehandleren automatisk følger den. Og nettopp derfor er løpende oppfølging så viktig.
Det er lett å tro at avtalen er målet – men i realiteten er den bare starten på samarbeidet.
Avtalen setter rammene for vilkår, ansvar og instrukser – men den sier ingenting om hvordan databehandleren faktisk håndterer personopplysninger i praksis. Risikoene oppstår ikke ved signering, men når teknologien endres, organisasjonen vokser, tjenester legges til eller rutiner ikke følges.
Mange personvernombud og innkjøpere opplever at det mangler en tydelig prosess for oppfølging av databehandlere etter at avtalen er på plass. Derfor kreves mer enn bare juss – det kreves et arbeidssett.
I følge GDPR artikkel 28.1 skal den behandlingsansvarlige kun benytte databehandlere som garanterer at de oppfyller kravene i forordningen – både ved inngåelse av avtale og deretter.
Om noe går galt, som et datainnbrudd eller en hendelse knyttet til databehandleren, er det den behandlingsansvarlige som står med det endelige ansvaret.
Uten løpende oppfølging risikerer dere å:
Oppfølging handler altså om å vise at dere hadde kontroll – ikke bare tro at alt fungerte.
En god oppfølgingsprosess er risikobasert, regelmessig og dokumentert. Det betyr ikke at alle databehandlere må følges opp like ofte – men at det finnes et tydelig rammeverk.
Følgende elementer bør inngå i en strukturert oppfølging:
Tenk deg en kommune som bruker et skybasert journalsystem til sosialtjenesten. Leverandøren er et veletablert selskap med en gyldig databehandleravtale – men kommunen har ikke fulgt dem opp på flere år.
Plutselig viser det seg at leverandøren har begynt å bruke en ny underleverandør i USA, uten å informere kommunen. Overføringen skjer uten nødvendige sikkerhetstiltak, og innebærer dermed et brudd på GDPRs krav om tredjelandsoverføringer.
Kommunen risikerer tilsyn, svekket tillit og – i verste fall – overtredelsesgebyr. Alt fordi det manglet en enkel rutine for jevnlig oppfølging.
Med riktige rutiner kunne endringen vært oppdaget i tide, risikovurdert og håndtert korrekt – med oppdatert leverandørliste og tydelige avtaler.
Å unnlate oppfølging kan få større konsekvenser enn mange er klar over.
Konsekvensene kan være:
Dette handler altså ikke bare om etterlevelse – men om å redusere risiko, bygge tillit og vise ansvar. Et godt oppfølgingssystem er en investering i langsiktig trygghet.
Oppfølging trenger ikke være komplisert, men krever struktur. Her er noen vanlige metoder:
Målet er ikke å skape merarbeid – men å få reell innsikt i hvordan personopplysninger håndteres, og kunne agere i tide ved avvik.
For at oppfølging ikke skal oppleves som en ekstra byrde, bør den bygges inn i hele livssyklusen – fra anskaffelse til avslutning.
Tips:
Jo mer naturlig oppfølgingen integreres i eksisterende prosesser, desto større sjanse for at den faktisk gjennomføres – og gir effekt.
GDPR fastsetter ingen bestemt frekvens for oppfølging – men prinsippet om ansvarlighet innebærer at oppfølgingen skal være regelmessig, proporsjonal og risikobasert.
Et vanlig feilgrep er å nøye seg med én oppfølging ved avtaleinngåelse. I praksis kan dette føre til at viktige endringer hos databehandleren forblir uoppdaget.
Generelle anbefalinger:
I tillegg bør oppfølging alltid skje ved:
Å etablere en egen oppfølgingspolicy basert på hvor sensitive opplysningene er, kan redusere både risiko og arbeidsbelastning.
Mange virksomheter har avtaler, men mangler reell kontroll. Her er noen klassiske feil:
Å etablere en tydelig struktur for oppfølging er ofte det som skiller kontroll fra usikkerhet.
Å følge opp databehandlere er bare ett av mange viktige områder innen personvern – men for mange organisasjoner blir det lett en isolert oppgave uten struktur, eierskap eller kontinuitet.
Med Privacy as a Service får dere et helhetlig grep om personvernarbeidet – ikke bare på avtalenivå, men i praksis.
Tjenesten kombinerer:
Dere får hjelp til å:
Med en dedikert kontaktperson, tydelig prosjektplan og kontinuerlig oppfølging får dere ikke bare kontroll på databehandlerne deres – dere får struktur og fremdrift i hele personvernarbeidet.
Book en demo i dag og se hvordan Privacy as a Service kan hjelpe dere å jobbe effektivt, langsiktig og i tråd med GDPR – på deres egne vilkår.