Seminar om databehandleraftalen IT-Branchen 28. februar 2018

Transkript

1 Seminar om databehandleraftalen IT-Branchen 28. februar 2018

2 Dagens program 1. Introduktion 2. Databehandleraftalen som koncept 3. Modelkontrakten Spørgsmål

3 Introduktion

4 Introduktion Hvad er fokus for dagens emne? Overblik! Intro til databehandlerkonceptet Intro til modelkontrakten 2.0 Ikke udtømmende gennemgang Fokus på praktik Det skal være relevant Stil derfor gerne spørgsmål undervejs Slides bliver tilsendt

5 Tim Nielsen Advokat Speciale i teknologivirksomheder Rådgiver bl.a. om Persondata IT-anskaffelser & Outsourcing Licenser Konflikter og andet branchespecifikt Certificeret IT-advokat Medlem af International Association of Privacy Professionals DAHL i København siden 2014 Kromann Reumert Selskabsret og finansiel regulering Teknologivirksomheder tim@dahllaw.dk

6 Hvem er DAHL? 5 kontorer 200 medarbejdere Opdelt i specialer, f.eks. Persondata IT-forhold HR-forhold Outsourcing Selskabsforhold Skatter og afgifter osv. HERNING VIBORG ESBJERG AARHUS KØBENHAVN

7 Databehandleraftalen som koncept

8 PERSONDATA ER EN TILLIDSSAG

9 Databehandleraftalen som koncept Registreret Fysisk person oplysningerne identificerer Den hele beskyttelsen omhandler Dataansvarlig Dataejeren Bestemmer over oplysningerne om den registrerede Fuldt ansvarlig for reglernes overholdelse Databehandler (Under)leverandør Behandling af oplysninger om registrerede på vegne af dataansvarlig Begrænset ansvar for behandlingen

10 Databehandleraftalen som koncept Dataansvarlig eller databehandler? Afgørende hvem der bestemmer Formålet Hjælpemidlerne Reelt afgørende, om der handles efter instruks eller på eget initiativ Dermed også afgørende, hvilken ydelse der leveres Er databehandlingen ydelsen eller en accessorisk ydelse? Afgrænsningen er ikke helt nem! Dette på trods af en række vejledninger

11 Databehandleraftalen som koncept Er man altid enten dataansvarlig eller databehandler Ja - også i koncerner! og så alligevel Medarbejdere er ikke dataansvarlig/databehandler Muligvis undtagelse for medarbejderlignende forhold Direkte instruks, kontrol osv. som var det en medarbejder Dog uklar rækkevidde Fremgår ikke af forordning eller vejledninger

12 Databehandleraftalen som koncept Eksempel 1 - Hosting Adgang til kundens persondata?: Ja Hvem bestemmer formål databehandling: Kunden Hvem bestemmer hjælpemidler?: Kunden (i teorien i hvert fald) Kunde: Dataansvarlig for egne data Leverandør: Databehandler

13 Databehandleraftalen som koncept Eksempel 2 - Konsulentydelser Adgang til kundens persondata?: Måske Hvem bestemmer formål databehandling: Kunden Hvem bestemmer hjælpemidler?: Kunden (i teorien i hvert fald) Kunde: Dataansvarlig for egne data Leverandør: Databehandler hvis ydelsen reelt omhandler behandling af persondata Dvs. ikke ren programmering Men måske nok f.eks. migrering Måske mulighed for hverken eller? (p.t. uklart!)

14 Databehandleraftalen som koncept Eksempel 3 - Pakkeleverandør Adgang til kundens persondata?: Ja oplysninger om slutkunden Hvem bestemmer formål databehandling: Kunden? Hvem bestemmer hjælpemidler?: Leverandør Kunde: Dataansvarlig Leverandør: Dataansvarlig

15 Databehandleraftalen som koncept Kundens data eller data om kunden? Kundens data Databehandler eller evt. dataansvarlig Kundens kunder Kundens databaser Data om kunden Dataansvarlig Kontaktperson hos kunden Oplysninger om kunden

16 Databehandleraftalen som koncept Dataansvarlig En databehandlers behandling skal være reguleret af en kontrakt eller et andet retligt dokument Hjemmel til databehandlerens lovlige behandling af data Fastsætter vilkårene for behandlingen Legale krav Databehandler Kommercielle krav Behøver ikke være en selvstændig aftale kan godt være del af hovedaftale

17 Databehandleraftalen som koncept Dataansvarlig Dataansvarlig Videregivelse kræver ikke en databehandleraftale Til gengæld kræver det særskilt hjemmel, f.eks. samtykke eller nødvendighed Typisk restriktiv adgang hertil Normalt ikke ønskeligt uden nærmere overvejelser

18 Databehandleraftalen som koncept Konsekvenser af afgrænsningen (eksempler) Dataansvarlig: Det fulde ansvar Lovlig behandling (formål, hjemmel, sletning osv.) Registreredes rettigheder (oplysningspligt, indsigt, sletning osv.) Sikkerhedskrav Kontrol med databehandlere Dokumentation 4% bøder Erstatning

19 Databehandleraftalen som koncept Konsekvenser af afgrænsningen (eksempler) Databehandler: Begrænset ansvar Lovlig behandling (formål, hjemmel, sletning osv.) Registreredes rettigheder (oplysningspligt, indsigt, sletning osv.) Dog hjælpe dataansvarlig med opfyldelse af pligter Sikkerhedskrav Kontrol med databehandlere Dokumentation 4% bøder 2% forudsat at der handles indenfor instruks! Erstatning

20 Databehandleraftalen som koncept Hvem har ansvaret for at indgå databehandleraftale? Begge parter! Det er den der gør det lovligt at behandle data Dataansvarlig må ikke overlade data Databehandler må ikke behandle data Databehandling udenfor instruks Dataansvarlig Uklart om blot fraværet af skriftlig aftale har denne konsekvens Hvis tvivl, indgå en databehandleraftale! med mindre klart dataansvarlig - dataansvarlig

21 Databehandleraftalen som koncept Underdatabehandlere Underleverandør (underdatabehandler) Kunden (dataansvarlig) Leverandør (databehandler) Underleverandør (underdatabehandler) Jura Kommercielt Jura Kommercielt Databeskyttelsesforpligtelser Leverandør: Start kæden bagfra og brug så vidt muligt egen databehandleraftale Kunde: Undgå overimplementering det kan umuliggøre/fordyre brug af underleverandør

22 Modelkontrakten 2.0

23 Tilblivelse Version 1 frigivet start 2017 Afbalancering af kundens og leverandørens interesser Forordningens grundkrav: Leverandørens omkostning Krav og bistand derudover: Kundens omkostning Indeholder forordnings krav til databehandleraftaler Foretaget valg/fortolkning Indeholder også persondatalovens krav kan anvendes allerede nu Indeholder derudover kommercielle forhold, som bliver mere relevante Ikke tale om en færdigudfyldt kontrakt bør ikke anvendes hovedløst

24 Forskel mellem v1 og v2 Få reelle ændringer Sproget er justeret og forsøgt forenklet Der er indsat flere eksempler på konkret udfyldelse Ansvarsbegrænsningerne er blevet justeret Håndteringen af underdatabehandlere er blevet tydeliggjort Håndteringen af overførelse til tredjelande er blevet tydeliggjort Der er foretaget yderligere balancering af forholdet mellem kunde og leverandør

25 Opbygning Leveranceaftale Leveranceaftale Leveranceaftale Aftale og en række bilag. I udgangspunktet ikke behov for større ændringer i aftalen Alle konkrete forhold reguleres i bilagene Kan anvendes ift. en konkret leveranceaftale Aftale Kan også anvendes generelt ift. flere leveranceaftaler Punkter markeret med gul tekst skal udfyldes Bilag Bilag Bilag Punkter markeret med grøn tekst skal overvejes Punkter af kommerciel karakter Kan overvejes - men ikke et krav ifølge forordningen

26 Opbygning Aftalen Bilag 1 Hovedydelsen Bilag 2 Tekniske og organisatoriske sikkerhedskrav og garantier Bilag 3 Dokumentation for overholdelse af forpligtelser Bilag 4 Konkret bistand Bilag 5 Den dataansvarliges forpligtelser Bilag 6 Underdatabehandlere Bilag 7 Overførsel til tredjelande og internationale organisationer

27 Opbygning 1. BAGGRUND OG FORMÅL 2. OMFANG 3. VARIGHED 4. DATABEHANDLERENS FORPLIGTELSER 5. DEN DATAANSVARLIGES FORPLIGTELSER 6. UNDERDATABEHANDLERE 7. OVERFØRSEL TIL TREDJELANDE OG INTERNATIONALE ORGANISATIONER 8. DATABEHANDLING UDENFOR INSTRUKSEN 9. VEDERLAG OG OMKOSTNINGER 10. ÆNDRING AF INSTRUKSEN 11. ØVRIGE BESTEMMELSER 12. OPHØR 13. TVISTLØSNING 14. FORRANG 15. UNDERSKRIFTER

28 Omfang Hvad er omfanget af behandlingen (og dermed aftalen) Hvilken behandling er der tale om? Generel behandling af persondata for kunden, eller Konkret behandling af persondata for kunden Udfyldes i bilag 1 Behandlingens karakter? Følsomhed Type af registrerede Bl.a. relevant for risikovurdering og sikkerhedsforanstaltninger Udfyldes i bilag 1

29 Omfang Databehandleren handler på instruks Hvad er Instruks? Rammerne/opgaverne/beføjelserne/midlerne/mv. givet af den dataansvarlige Databehandleren kan ikke handle ud over Instruksen Instruksen kan ændres til enhver tid Databehandleren skal reelt gøre alt hvad den dataansvarlige siger (så længe det er lovligt)

30 Omfang Aftalen + bilag Instruks Enhver anden efterspørgsel/bemyndigelse/opgave/mv. modtaget skriftligt fra den dataansvarlige Instruks Det eneste krav er, at den er skriftlig Rammerne for instruksen er fastlagt i aftalen. Konkrete forhold mellem parterne behandles i bilag, se f.eks.: Bilag 1 typen af personoplysninger Bilag 2 specifikke krav til sikkerhedskrav Bilag 3 konkret bistand

31 Ændring af instruksen Den dataansvarliges ændring af instruks Hvornår kan ændring ske? Til hver en tid Persondataretligt kan dette ikke begrænses Kommercielt bør der dog tages højde herfor, f.eks.: Hvem bærer omkostninger Aftalen: Den dataansvarlige bære omkostninger direkte forbundet med ændringen Det tidsmæssige aspekt Aftalen: Implementering skal iværksættes straks og ske uden ugrundet ophold

32 Ændring af instruksen Hvordan skal implementering ske Aftalen: Den ændrede instruks er først gældende når den er implementeret Overholdelse af hovedaftalen Aftalen: Databehandleren er fritaget for ansvar for manglende levering, hvis levering vil være i strid med ændret instruks Forholdet er reguleret i aftalen punkt 10.

33 Databehandlerens forpligtelser Forpligtigelser pålagt databehandleren En lang række forpligtigelser for databehandleren, herunder f.eks.: Sikring af gennemførsel af fornødne tekniske og organisatoriske sikkerhedsforanstaltninger, Sikring af forhold omkring medarbejdere, Dokumentation for overholdelse af forpligtigelser, Fortegnelser over behandling, Anmeldelse af sikkerhedsbrud, og Bistand i øvrigt

34 Databehandlerens forpligtelser Tekniske og organisatoriske sikkerhedsforanstaltninger Udgangspunktet: Databehandleren har valgretten Databehandleren skal gennemføre fornødne (a) tekniske og (b) organisatoriske foranstaltninger fornødne afhænger af det tekniske niveau, omkostninger, behandlingens karakter, omfang, risici mv. Konkrete sikkerhedskrav kan dog aftales Fastsættes i bilag 2 Bør fastsættes i forhold til den konkrete behandling og typen af personoplysninger

35 Databehandlerens forpligtelser Tekniske og organisatoriske sikkerhedsforanstaltninger Der skal stilles fornødne garantier (dokumentation) for overholdelsen Garantierne bør bestemmes i det konkrete aftaleforhold, men skal navnlig dokumentere Tilstrækkelig grad af ekspertise, pålidelighed og ressourcer hos databehandleren Godkendt adfærdskodeks eller certificeringer kan være eksempler herpå Aftalen: Ikke medtaget skal ske sideløbende

36 Databehandlerens forpligtelser Løbende dokumentation for overholdelse af forpligtigelser Begge parter skal kunne dokumentere databehandlerens overholdelse af Aftalen / instruks Persondatareguleringen Aftalen: Reguleres i bilag 3, f.eks. ved Erklæringer og beskrivelser fra den dataansvarlige selv Revisionserklæringer foranlediget af databehandleren Fysiske møder hos databehandleren Audit fortaget af en uafhængig tredjemand

37 Databehandlerens forpligtelser Løbende bistand Databehandleren er forpligtiget til at yde bistand ved en række af de forpligtigelser der er pålagt den dataansvarlige, herunder: Besvarelser til registrerede Anmeldelse af sikkerhedsbrud Konsekvensanalyser Forudgående høringer ved tilsynsmyndigheder Aftalen: Databehandleren skal hjælpe (normalt mod betaling) Bilag 4 givet adgang til regulering af konkrete bistandsopgaver.

38 Vederlag og omkostninger Databehandlerens krav på betaling efter persondataretten Intet legalt krav om betaling til databehandleren i persondataretten Privat anlæggende mellem databehandler og dataansvarlig Aftalen: Regulering af en betalingsmodel og pris for assistance

39 Vederlag og omkostninger Databehandlerens krav på betaling efter aftalen Alle generelle krav til databehandleren: Ingen særskilt betaling Det er en del af omkostningen ved at drive forretning Alle særkrav til databehandleren: Særskilt betaling Specifikke krav kunden i tillæg til kravene i forordningen, f.eks.: Særlige sikkerhedsstandarder mv. som anført i bilagene (indregnes i det generelle vederlag) Specifikke opgaver anført i bilag 4 (prissættes i bilag 4) Ad hoc opgaver (T&M) Assistance pga. af databehandlerens misligholdelse: Ingen betaling (pkt. 9.2)

40 Den dataansvarliges forpligtigelser Forpligtigelser pålagt den dataansvarlige Nødvendighed bør overvejes i konteksten af parternes aftale om f.eks. Særkrav Tidskrav Betaling Eller hvor nødvendige for at databehandleren kan overholde aftalen F.eks. dataansvarlig skal opdatere personoplysningerne efter behov, og oplyse databehandleren om sådanne ændringer Aftalen: Eksempler indsat i bilag 5

41 Underdatabehandlere Hvornår må der bruges underdatabehandlere? Kun hvis: De fremgår af aftale direkte, eller hvis der er givet forudgående samtykke (konkret eller generelt) Aftalen: Indeholder begge modeller Fastlægges i bilag 6 Databehandleren og underdatabehandleren skal indgå en skriftlig aftale I udgangspunktet krav om back-to-back aftale Dog mulighed for at fastlægge forudgående accept af andre vilkår Fastlægges i bilag 6.

42

43 Kontakt Tim Nielsen, Advokat Mobil: Direkte: