En databehandleravtale er en avtale mellom deg og en leverandør som behandler personopplysninger på dine vegne, påkrevd etter GDPR artikkel 28. Du er behandlingsansvarlig og bestemmer hva som skal skje med opplysningene. Leverandøren er databehandler og kan bare gjøre det du instruerer om. Avtalen slår fast formål, sikkerhet, taushet, bruk av underleverandører og hva som skjer med dataene når samarbeidet slutter. Uten en slik avtale har du som hovedregel ikke lov til å la leverandøren behandle opplysningene.
Et eksempel fra hverdagen
Advokatfirmaet Lien & Dahl (et oppdiktet eksempel) tar i bruk et KI-verktøy for å oppsummere klientdokumenter. Dokumentene inneholder navn, personnummer og detaljer om tvister.
Firmaet er behandlingsansvarlig. KI-leverandøren blir databehandler fordi den behandler opplysningene på firmaets vegne. Før første dokument lastes opp, skal det derfor foreligge en databehandleravtale. Den sier at leverandøren bare kan bruke dokumentene til å levere tjenesten, at de ansatte hos leverandøren har taushetsplikt og at dataene skal slettes eller leveres tilbake når avtalen opphører.
Men avtalen er bare så god som det leverandøren faktisk har lov til i resten av vilkårene. Det kommer vi tilbake til.
Hva databehandleravtalen skal inneholde
GDPR artikkel 28 nr. 3 lister opp hva avtalen minst må regulere:
- Gjenstand, varighet, art og formål med behandlingen, hvilke typer personopplysninger og hvilke kategorier personer det gjelder.
- Dokumenterte instrukser. Databehandleren behandler bare opplysningene etter instruks fra den behandlingsansvarlige.
- Taushetsplikt for alle som behandler opplysningene hos databehandleren.
- Sikkerhetstiltak etter artikkel 32, for eksempel kryptering.
- Underleverandører. Databehandleren kan bare bruke en underdatabehandler med forhåndsgodkjenning, og må pålegge den de samme pliktene.
- Bistand til den behandlingsansvarlige, blant annet når registrerte bruker rettighetene sine og ved avvik.
- Sletting eller tilbakelevering av alle opplysninger når tjenesten avsluttes.
- Innsyn og revisjon. Databehandleren må stille informasjon til rådighet og tillate revisjoner.
Hva hvis databehandleren går utover instruksene? Bruker en databehandler opplysningene til egne formål, regnes den selv som behandlingsansvarlig for den behandlingen (artikkel 28 nr. 10), med det ansvaret som følger med.
Hvem fører tilsyn? I Norge Datatilsynet. Manglende databehandleravtale kan føre til pålegg og overtredelsesgebyr, som etter GDPR kan bli inntil 20 millioner euro eller 4 prosent av den globale årsomsetningen.
Dette er generell informasjon, ikke juridisk rådgivning.
Hva en databehandleravtale ikke beskytter
En databehandleravtale er nødvendig, men den er ikke hele svaret.
- Den dekker bare personopplysninger. Avtalen regulerer behandling av opplysninger om identifiserbare personer. Anonyme opplysninger faller utenfor GDPR (fortalepunkt 26). Om vilkårene ellers lar leverandøren anonymisere innholdet og bruke det selv, må du lese der.
- Vilkårene kan si noe annet enn avtalen. Mange tjenester har en databehandleravtale for personopplysningene og en bred lisens i bruksvilkårene for «innholdet» ditt. Diagnosen, klausulen og strategien, uten navn, er ikke lenger personopplysninger.
- Pseudonymisert er ikke anonymisert. Et alias gjør ikke data anonyme. Les mer i Pseudonymisering og anonymisering.
- Den løser ikke taushetsplikten. Om du som lege eller advokat i det hele tatt kan dele opplysningene med en leverandør, avgjøres av taushetsplikten og grunnlaget du har, for eksempel samtykke. Det kan ikke en avtale med leverandøren gi deg.
Hvordan innhold uten navn kan bli et salgbart datasett, vises på Data Trail. Kildene står på Lovlig å selge.
Hva dette betyr når du bruker KI-verktøy
Sjekk dette før du signerer:
- Finnes det en databehandleravtale etter artikkel 28, og gjelder den for KI-funksjonene?
- Står det noe i bruksvilkårene om en lisens til innholdet ditt, eller om bruk av anonymiserte eller aggregerte data?
- Hvilke underleverandører brukes, og hvor lenge beholder KI-modellleverandørene data?
- Trenes modeller på innholdet ditt?
- Gjelder forpliktelsene ved eierskifte?
Wysor er databehandler etter artikkel 28 og handler bare på dine instrukser. En databehandler kan ikke selge eller gjenbruke det den har. Vi tar heller ingen lisens til å gjenbruke innholdet ditt, verken i bruksvilkårene eller andre steder. Vi trener aldri på innholdet og selger det aldri, anonymisert eller ikke. Forpliktelsene står i kontrakten og binder også den som en gang måtte eie Wysor. Data er kryptert under overføring og lagring og driftes i EU, og alle tilkoblede KI-modellleverandører kjører med null datalagring: forespørselen behandles og slettes. Du får GPT, Claude, Gemini og flere modeller i ett arbeidsområde.
Vanlige spørsmål
Når trenger jeg en databehandleravtale? Når en leverandør behandler personopplysninger på dine vegne, for eksempel en skytjeneste, et regnskapssystem, en e-postleverandør eller et KI-verktøy. Selger du bare varer til en person, er det ikke databehandling.
Hva er forskjellen på behandlingsansvarlig og databehandler? Den behandlingsansvarlige bestemmer formålet med og midlene for behandlingen. Databehandleren behandler opplysningene på vegne av den behandlingsansvarlige og bare etter dennes instrukser.
Er en databehandleravtale det samme som en DPA? Ja. DPA står for Data Processing Agreement og er det engelske navnet. På norsk heter det databehandleravtale.
Må databehandleravtalen være skriftlig? Ja. GDPR krever at avtalen er skriftlig, og elektronisk form er tillatt. Mange leverandører har en standardavtale du kan godta digitalt.
Holder det med en databehandleravtale for å bruke KI trygt? Det er et nødvendig første steg, men ikke nok alene. Du må også sjekke om bruksvilkårene gir leverandøren rett til å gjenbruke innholdet, for eksempel i anonymisert form.
Les mer
- Hva er GDPR? Enkelt forklart
- GDPR-kompatibel KI
- Pseudonymisering og anonymisering
- Taushetsplikt forklart enkelt
- Juridisk KI for norske advokater
Har du spørsmål om Wysors databehandleravtale? Skriv til [email protected] eller bruk kontaktskjemaet i appen.
