En databehandleraftale er en aftale mellem dig og en leverandør, der behandler personoplysninger på dine vegne, og den er påkrævet efter GDPR artikel 28. Du er dataansvarlig og bestemmer, hvad der skal ske med oplysningerne. Leverandøren er databehandler og må kun gøre det, du instruerer. Aftalen fastlægger formål, sikkerhed, fortrolighed, brug af underdatabehandlere, og hvad der sker med data, når samarbejdet slutter. Uden en sådan aftale må du som udgangspunkt ikke lade leverandøren behandle oplysningerne.
Et eksempel fra hverdagen
Advokatfirmaet Holm & Vestergaard (et opdigtet eksempel) tager et AI-værktøj i brug til at sammenfatte klientdokumenter. Dokumenterne indeholder navne, CPR-numre og detaljer om tvister.
Firmaet er dataansvarligt. AI-udbyderen bliver databehandler, fordi den behandler oplysningerne på firmaets vegne. Før det første dokument uploades, skal der derfor være en databehandleraftale. Den siger, at udbyderen kun må bruge dokumenterne til at levere tjenesten, at medarbejderne hos udbyderen har tavshedspligt, og at data skal slettes eller leveres tilbage, når aftalen ophører.
Men aftalen er kun så god som det, udbyderen faktisk har lov til i resten af vilkårene. Det vender vi tilbage til.
Hvad databehandleraftalen skal indeholde
GDPR artikel 28, stk. 3, opregner, hvad aftalen mindst skal regulere:
- Genstand, varighed, karakter og formål med behandlingen, typen af personoplysninger og kategorierne af registrerede.
- Dokumenterede instrukser. Databehandleren behandler kun oplysningerne efter instruks fra den dataansvarlige.
- Fortrolighed for alle, der behandler oplysningerne hos databehandleren.
- Sikkerhedsforanstaltninger efter artikel 32, for eksempel kryptering.
- Underdatabehandlere. Databehandleren må kun bruge en underdatabehandler med forudgående godkendelse og skal pålægge den de samme forpligtelser.
- Bistand til den dataansvarlige, blandt andet når registrerede bruger deres rettigheder og ved brud på persondatasikkerheden.
- Sletning eller tilbagelevering af alle oplysninger, når tjenesten ophører.
- Indsigt og revision. Databehandleren skal stille oplysninger til rådighed og give mulighed for revision.
Hvad hvis databehandleren går ud over instrukserne? Bruger en databehandler oplysningerne til egne formål, anses den selv for dataansvarlig for den behandling (artikel 28, stk. 10), med det ansvar, der følger med.
Hvem fører tilsyn? I Danmark Datatilsynet, som også har offentliggjort en standardskabelon til databehandleraftaler. Manglende aftaler kan føre til påbud og bøder.
Dette er generel information, ikke juridisk rådgivning.
Hvad en databehandleraftale ikke beskytter
En databehandleraftale er nødvendig, men den er ikke hele svaret.
- Den dækker kun personoplysninger. Aftalen regulerer behandling af oplysninger om identificerbare personer. Anonyme oplysninger falder uden for GDPR (betragtning 26). Om vilkårene ellers lader udbyderen anonymisere indholdet og bruge det selv, må du læse dér.
- Vilkårene kan sige noget andet end aftalen. Mange tjenester har en databehandleraftale for personoplysningerne og en bred licens i brugsvilkårene til dit "indhold". Diagnosen, klausulen og strategien, uden navn, er ikke længere personoplysninger.
- Pseudonymiseret er ikke anonymiseret. Et alias gør ikke data anonyme. Læs mere i Pseudonymisering og anonymisering.
- Den løser ikke tavshedspligten. Om du som læge eller advokat overhovedet må dele oplysningerne med en leverandør, afgøres af tavshedspligten og det grundlag, du har, for eksempel samtykke. Det kan en aftale med leverandøren ikke give dig.
Hvordan indhold uden navn kan blive et salgbart datasæt, vises på Data Trail. Kilderne står på Lovligt at sælge.
Hvad det betyder, når du bruger AI-værktøjer
Tjek dette, før du skriver under:
- Findes der en databehandleraftale efter artikel 28, og dækker den AI-funktionerne?
- Står der noget i brugsvilkårene om en licens til dit indhold, eller om brug af anonymiserede eller aggregerede data?
- Hvilke underdatabehandlere bruges, og hvor længe beholder AI-modeludbyderne data?
- Trænes modeller på dit indhold?
- Gælder forpligtelserne ved ejerskifte?
Wysor er databehandler efter artikel 28 og handler kun efter dine instrukser. En databehandler kan ikke sælge eller genbruge det, den har. Vi tager heller ingen licens til at genbruge dit indhold, hverken i brugsvilkårene eller andre steder. Vi træner aldrig på indholdet og sælger det aldrig, anonymiseret eller ej. Forpligtelserne står i kontrakten og binder også den, der en dag måtte eje Wysor. Data er krypteret under overførsel og opbevaring og hostes i EU, og alle tilsluttede AI-modeludbydere kører med nul datalagring: forespørgslen behandles og slettes. Du får GPT, Claude, Gemini og flere modeller i ét arbejdsområde.
Ofte stillede spørgsmål
Hvornår skal man have en databehandleraftale? Når en leverandør behandler personoplysninger på dine vegne, for eksempel en cloudtjeneste, et lønsystem, en e-mailudbyder eller et AI-værktøj. Sælger du blot en vare til en person, er det ikke databehandling.
Hvad er forskellen på dataansvarlig og databehandler? Den dataansvarlige bestemmer formålet med og midlerne til behandlingen. Databehandleren behandler oplysningerne på den dataansvarliges vegne og kun efter dennes instrukser.
Er en databehandleraftale det samme som en DPA? Ja. DPA står for Data Processing Agreement og er den engelske betegnelse. På dansk hedder det databehandleraftale.
Skal databehandleraftalen være skriftlig? Ja. GDPR kræver, at aftalen foreligger skriftligt, og elektronisk form er tilladt. Mange leverandører har en standardaftale, som du kan acceptere digitalt.
Hvad med udbydere uden for EU? Overføres oplysninger til et land uden for EU/EØS, kræver GDPR et særligt overførselsgrundlag, for eksempel EU-Kommissionens standardkontraktbestemmelser. Det skal fremgå af aftalen, hvor data behandles.
Er en databehandleraftale nok til at bruge AI sikkert? Det er et nødvendigt første skridt, men ikke nok alene. Du skal også tjekke, om brugsvilkårene giver udbyderen ret til at genbruge indholdet, for eksempel i anonymiseret form.
Læs mere
- Hvad er GDPR? Forklaret enkelt
- GDPR-kompatibel AI
- Pseudonymisering og anonymisering
- Tavshedspligt forklaret enkelt
- Juridisk AI for danske advokater
Har du spørgsmål om Wysors databehandleraftale? Skriv til [email protected] eller brug kontaktformularen i appen.
