Gennemgå en databehandleraftale op mod den faktiske tjeneste

En databehandleraftale bliver nyttig, når dens beskrivelse svarer til den faktiske tjeneste. En kontrakt, der ser fuldstændig ud, kan stadig beskrive de forkerte data, udelade en supportleverandør eller love en sletning, som produktet ikke kan udføre.

For en CTO forbinder gennemgangen juridiske forpligtelser med arkitektur, konfiguration og driftsprocedurer. Juridiske kolleger eller privatlivskolleger fortolker klausulerne; den tekniske side fastslår, om klausulerne beskriver virkeligheden. Resultatet bør være en forsvarlig beslutning om tjenesten, understøttet af evidens og en klar liste over uafklarede betingelser, ikke blot en underskrevet PDF.

Fastslå leverandørens rolle, før klausulerne gennemgås

Start med at afgøre, om leverandøren optræder som databehandler for den relevante behandling. Efter databeskyttelsesforordningen (GDPR) behandler en databehandler personoplysninger på vegne af en dataansvarlig. Ikke alle leverandørforhold har den rolle, og én leverandør kan have forskellige roller for forskellige aktiviteter.

En hostet supportplatform kan behandle kundetickets efter jeres instrukser og samtidig optræde som selvstændig dataansvarlig for dele af sin egen kontoadministration. Hvis dens vilkår også tillader, at ticketindhold bruges til selvstændigt fastlagte formål, kræver den aktivitet en separat analyse. At kalde det hele “forbedring af tjenesten” afgør ikke rollen.

Udarbejd en kort scopebeskrivelse, før du kommenterer aftalen:

• Identificér den kontraherende enhed, produktet, abonnementsniveauet og de aktiverede funktioner.
• Beskriv, hvorfor jeres organisation bruger tjenesten, og hvis personoplysninger den håndterer.
• Adskil instrueret behandling fra eventuelle formål, som leverandøren selv fastlægger.
• Navngiv den interne ejer af tjenesten og den juridiske eller privatlivsmæssige gennemgående.

En databehandleraftale er ikke et behandlingsgrundlag efter artikel 6, og den opfylder heller ikke automatisk kravene til internationale overførsler. Disse spørgsmål forbliver separate. Hvis jeres organisation selv er databehandler, skal den dataansvarliges instrukser og betingelser for godkendelse identificeres, før leverandøren antages som underdatabehandler.

Opbyg en gennemgangsmatrix for artikel 28

Artikel 28 i GDPR kræver en bindende kontrakt eller et andet retligt dokument, der regulerer databehandlerens aktiviteter. Den skal beskrive genstanden for og varigheden af behandlingen, behandlingens karakter og formål, typen af personoplysninger, kategorierne af registrerede samt den dataansvarliges rettigheder og forpligtelser.

Disse detaljer bør identificere den faktiske behandling. “Alle data, der er nødvendige for at levere tjenesterne” kan efterlade de gennemgående uden mulighed for at fastslå, om medarbejderoplysninger, kundebeskeder eller følsomme vedhæftede filer er omfattet. Kontrollér bilagene op mod det konfigurerede produkt, herunder valgfrie integrationer.

Brug følgende matrix til at undersøge de påkrævede databehandlerforpligtelser. Evidenskolonnen indeholder praktiske anbefalinger til gennemgangen, ikke et lovkrav om at indhente hvert nævnt dokument.

Databehandleren skal også straks underrette den dataansvarlige, hvis en instruks efter dennes mening er i strid med gældende databeskyttelsesret. Kontrollér, hvor den underretning sendes hen, og hvem der kan løse sagen.

Markér hvert krav som dækket, uklart eller manglende med en henvisning til klausulen. Klassificér ikke en manglende obligatorisk bestemmelse som en almindelig kommerciel præference. Artikel 28, stk. 1, kræver også, at dataansvarlige kun anvender databehandlere, der kan stille tilstrækkelige garantier; kontraktformuleringer alene kan ikke fastslå det.

Spor en repræsentativ post gennem tjenesten

Vælg en realistisk post, og følg den fra modtagelse til bortskaffelse. For en kundesupporttjeneste kan det være en ticket med et navn, en e-mailadresse, en kontoidentifikator og en vedhæftet fil. Brug helst syntetiske data ved test.

Kortlæg indsamling, modtagelse via API, primær lagring, indeksering, analyse, supportadgang, eksport, integrationer, backups og sletning. Spørg, hvilke komponenter der modtager indhold, og hvilke der kun modtager metadata. Logfiler og diagnostiske spor indeholder ofte identifikatorer, selv når hovedapplikationen er korrekt afgrænset.

Registrér for hvert trin den ansvarlige enhed, behandlingsformålet, placeringen, adgangsvejen og opbevaringsperioden. Sammenlign resultatet med databehandleraftalen, sikkerhedsbilaget, listen over underdatabehandlere og overførselsordningerne.

Vær særligt opmærksom på funktioner, som administratorer kan aktivere uden indkøbsafdelingens medvirken: transskription, berigelse, AI-opsummering, eksterne webhooks og optagelse af supportsessioner. En kontrakt, der er gennemgået for basisproduktet, beskriver måske ikke den aktiverede tjeneste tilstrækkeligt.

Leverancen kan være et simpelt dataflowdiagram og en log over uoverensstemmelser. Hver uoverensstemmelse bør identificere det kontraktmæssige udsagn, den observerede adfærd, konsekvensen, ejeren og løsningen. For eksempel er “Databehandleraftalen beskriver kundestyret opbevaring; diagnostiske logfiler bevares i en fast periode” handlingsrettet. “Opbevaring uklar” er ikke nok til at lukke sagen.

Afprøv sikkerhedsløfterne op mod implementeringen

Artikel 32 kræver sikkerhedsforanstaltninger, der passer til risikoen. Den pålægger ikke én universel teknisk konfiguration. Vurdér foranstaltningerne i forhold til dataenes følsomhed, mængde, eksponering og de sandsynlige konsekvenser af en kompromittering.

Et bilag bør forklare nok til, at tjenesten kan vurderes, uden at kræve videregivelse af detaljer, der kan udnyttes. Prioritér tenantisolation, privilegeret adgang, autentificering, kryptering, modstandsdygtighed, gendannelse, sårbarhedsstyring og test. Identificér de kontroller, leverandøren driver, og de indstillinger, jeres team selv skal konfigurere.

Hvis aftalen lover begrænset supportadgang, så spørg, hvordan adgang anmodes om, godkendes, tidsbegrænses og logges. Hvis den lover kryptering, så skeln mellem beskyttelse under overførsel og beskyttelse i hvile, og fastslå derefter, hvem der kontrollerer nøglerne, og hvad autoriserede brugere stadig kan læse. Kryptering løser ikke overdrevne applikationsrettigheder.

For tilgængelighed og gendannelse skal I fastslå, hvilke backups der findes, hvordan gendannelse testes, og om de kontraktmæssige gendannelsesforpligtelser dækker det produkt, I køber. Hold kommercielle oppetidsmål adskilt fra sikkerheds- og privatlivsforpligtelser.

Certifikater og erklæringsrapporter kan understøtte vurderingen, men deres scope har betydning. Kontrollér tjenesten, den juridiske enhed, vurderingsperioden, undtagelser og kundens ansvar. En rapport om hostingudbyderen er ikke evidens for alle kontroller i SaaS-applikationen, og en certificering fastslår ikke overholdelse af GDPR. Se vurdering af sikkerhedsdokumentation for den bredere gennemgang af evidens.

Hvor sikkerhedsbilaget er indarbejdet via et weblink, skal den gældende version bevares. Gennemgå, om ændringer kan reducere beskyttelsen, og hvordan kunderne informeres. Behandl en udateret side, der kan ændres, som et problem i evidensstyringen, der skal løses, i stedet for at antage, at den enten automatisk er tilstrækkelig eller automatisk ugyldig.

Følg kæden af underdatabehandlere, og vurdér overførsler separat

Artikel 28, stk. 2, kræver forudgående specifik eller generel skriftlig godkendelse for at gøre brug af en anden databehandler. Ved generel godkendelse skal databehandleren underrette den dataansvarlige om påtænkte tilføjelser eller udskiftninger og give mulighed for at gøre indsigelse. Artikel 28, stk. 4, kræver, at de relevante databeskyttelsesforpligtelser videreføres; den oprindelige databehandler forbliver fuldt ansvarlig over for den dataansvarlige for underdatabehandlerens opfyldelse af disse forpligtelser.

Indhent en brugbar liste, der viser hver leverandørs juridiske identitet, funktion, relevante data og behandlingssteder. Ikke enhver leverandørafhængighed er en underdatabehandler, men udbydere af infrastruktur, support og analyse bør ikke forsvinde fra gennemgangen, blot fordi de opererer bag produktets brugerflade.

Vurdér ændringsmekanismen:

• Når underretningen frem til en overvåget adresse eller en udpeget ejer?
• Er der tilstrækkelige oplysninger og tid til at vurdere den foreslåede ændring?
• Hvordan indgives og løses en indsigelse?
• Hvad sker der, hvis der ikke findes noget acceptabelt alternativ?

En kontraktmæssig rettighed, som ingen kan udøve i praksis, er et advarselstegn. Tilmeld det relevante team, og registrér, hvem der vurderer underretningerne.

Hosting i EU er relevant, men afslutter ikke vurderingen af overførsler. Undersøg de faktiske modtagere, ordninger for fjernadgang, supportlokationer og videreoverførsler. Ligeledes er udenlandsk ejerskab alene ikke en fuldstændig beskrivelse af en overførsel: dokumentér de faktiske enheder og adgangsveje.

Hvor kapitel V finder anvendelse, skal det relevante overførselsgrundlag og eventuelle nødvendige understøttende vurderinger eller foranstaltninger identificeres. Hold denne analyse forbundet med leverandørgennemgangen, men adskilt fra overholdelsen af artikel 28. En databehandleraftale og en regional hostingindstilling besvarer ikke hver for sig alle spørgsmål om overførsler.

Gør bistandsforpligtelserne eksekverbare

Underretning om brud og overdragelse ved hændelser

Efter artikel 33, stk. 2, skal en databehandler underrette den dataansvarlige uden unødig forsinkelse efter at være blevet opmærksom på et brud på persondatasikkerheden. Den dataansvarlige vurderer separat anmeldelse til tilsynsmyndigheden, som skal ske uden unødig forsinkelse og om muligt senest 72 timer efter, at bruddet er konstateret, medmindre det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder.

Giv ikke databehandleren den dataansvarliges frist som standardventetid. En praktisk kontrakt bør fastsætte hurtig indledende underretning, navngivne kanaler og løbende opdateringer. Et aftalt mål for underretning er en driftsmæssig anbefaling; det erstatter ikke den lovbestemte standard.

Anmod om de oplysninger, der er nødvendige for at vurdere berørte data, personer, systemer, sandsynlige konsekvenser, inddæmning og genopretning. Den første underretning kan være ufuldstændig, så definér, hvordan opdateringer og evidens følger efter. Den dataansvarlige skal også vurdere, om en høj risiko kræver underretning af de berørte personer efter artikel 34 med forbehold for undtagelserne, og dokumentere vurderingen af bruddet, herunder begrundelser for ikke at underrette. Gennemgå udløseren for underretning omhyggeligt: en proces, der venter på en afsluttet undersøgelse af den grundlæggende årsag, kan forsinke den dataansvarliges vurdering.

Afprøv overdragelsen med et tabletop-scenarie. Bekræft, at underretningen når frem til hændelseshåndterere og privatlivsgennemgående uden for normal arbejdstid og ikke kun til en kundeansvarlig.

Anmodninger fra registrerede

Databehandlerens bistand bør gøre jeres egen proces for besvarelse af rettighedsanmodninger mulig. Test, om poster kan findes på tværs af indhold, vedhæftede filer, indekser og eksporter, og om sletning eller berigtigelse når frem til de relevante komponenter.

Aftal svarvejen og den forventede behandlingstid. Dataansvarlige har normalt én måned til at besvare en anmodning med forbehold for GDPR's betingelser for forlængelse; leverandørens bistand skal give plads til identitetskontrol, juridisk vurdering og sikker levering. Leverandøren bør normalt videresende anmodninger vedrørende jeres instruerede behandling til jer i stedet for selvstændigt at afgøre deres udfald.

Gebyrer og servicebegrænsninger fortjener en gennemgang. Gebyrer for yderligere bistand er ikke automatisk forbudt, men de må ikke gøre obligatorisk bistand virkningsløs. Forbind proceduren med jeres arbejdsgang for anmodninger om indsigt.

Tilbagelevering, sletning og backups

Ved tjenestens ophør kræver artikel 28 sletning eller tilbagelevering efter den dataansvarliges valg og sletning af eksisterende kopier, medmindre EU-retten eller medlemsstaternes nationale ret foreskriver opbevaring. Fastslå, hvad det betyder teknisk, før I køber.

Kontrollér eksportens fuldstændighed, format, tidsvindue for tilgængelighed, og om vedhæftede filer eller konfiguration er udeladt. Ved sletning skal I skelne mellem aktive poster, caches, replikaer, logfiler og backups. Hvis sletning i backups følger en planlagt cyklus, skal perioden, adgangsbegrænsningerne og de foranstaltninger, der forhindrer, at slettede poster genindføres ved gendannelse, dokumenteres.

Spørg, hvordan gennemførelsen dokumenteres, og hvordan lovpligtig opbevaring identificeres. Undgå at forlade jer på “kontoen er lukket” som bevis for, at personoplysninger er fjernet.

Gennemgå auditrettigheder, ansvar og uafklarede klausuler

Auditbestemmelser bør give meningsfuld sikkerhed og samtidig beskytte andre kunder og legitime sikkerhedsinteresser. Rimelig planlægning, fortrolighed og brug af uafhængige rapporter kan gøre audits gennemførlige. En klausul, der kun henviser til certifikater, uden mulighed for at indhente nødvendige oplysninger eller adressere væsentlige bekymringer, bør dog gennemgås juridisk op mod artikel 28, stk. 3, litra h.

Fastlæg eskaleringsvejen, når evidensen er utilstrækkelig, når der opstår en hændelse, eller når en tilsynsmyndighed kræver oplysninger. Undersøg auditomkostninger, varslingsperioder og begrænsninger samlet; deres samlede virkning betyder mere end nogen enkelt formulering.

Ansvarsklausuler kræver en separat kommerciel vurdering. Erstatning efter artikel 82 afhænger af forordningens ansvarsbetingelser; databehandlere er ikke automatisk ansvarlige for enhver fejl hos den dataansvarlige. Hvor flere parter er ansvarlige efter artikel 82, kan reglerne gøre dem ansvarlige for hele skaden for at sikre effektiv erstatning. Et kontraktmæssigt loft begrænser ikke de registreredes lovbestemte rettigheder. Dets virkning på fordeling og regres mellem parterne skal gennemgås juridisk.

Hvis leverandøren afviser ændringer, skal I skelne mellem tre udfald:

• Afklaring: indhent autoritative formuleringer eller evidens, der løser tvetydigheden.
• Betinget accept: godkend en lovlig ordning med dokumenteret kommerciel eller driftsmæssig restrisiko og specificerede sikkerhedsforanstaltninger.
• Gå ikke videre: stop eller omlæg behandlingen, hvor påkrævede forpligtelser fortsat ikke er opfyldt.

Ledelsens accept kan ikke gøre en ulovlig ordning lovlig. Databeskyttelsesrådgiveren (DPO), hvor en sådan er udpeget, rådgiver og overvåger uafhængigt; den ansvarlige forretningsejer træffer beslutninger om tjenesten med input fra jura og privatliv. Giv ikke databeskyttelsesrådgiveren ejerskab over fastlæggelsen af behandlingens formål eller midler.

Undersøg AI-funktioner som yderligere behandlingsveje

AI-funktioner introducerer input, output og mellemliggende artefakter, som ældre bilag måske ikke beskriver. Gennemgå prompts, hentede dokumenter, embeddings, genererede svar, feedback, registreringer fra misbrugsovervågning og adgang til menneskelig gennemgang, hvor det er relevant.

Fastslå, om kundedata bruges til at træne eller forbedre modeller, hvis formål det tjener, og hvilken enhed der udfører behandlingen. “Ingen træning” er ikke det samme som “ingen opbevaring”, og ingen af løfterne beviser, at supportlogfiler eller overvågningsregistreringer ikke indeholder personoplysninger.

Kontrollér, at forpligtelserne gælder for det købte niveau, de aktiverede endpoints og de efterfølgende modeludbydere. Bekræft indstillinger for opbevaring, undtagelser og sletningsadfærd. Hvis en leverandør hævder anonymisering, så spørg, hvad der understøtter den påstand, i stedet for at antage, at modelartefakter er anonyme.

Registrér den kontraktmæssige forpligtelse og konfigurationsevidensen samlet. Ethvert nyt formål kræver sin egen vurdering af rolle og lovlighed; databehandleraftalen leverer ikke det behandlingsgrundlag. Om AI-forordningen finder anvendelse, er også et separat spørgsmål og ikke noget, der opfyldes ved at underskrive databehandlervilkår.

Gennemgået eksempel: supportsoftware med valgfri opsummering

Antag som illustration, at en SaaS-virksomhed ønsker en supportplatform, der indeholder navne, erhvervsmæssige e-mailadresser, tickettekst og vedhæftede filer. Tickets kan ved et uheld indeholde følsomme oplysninger. En valgfri AI-funktion opsummerer samtaler.

Udkastet til databehandleraftale beskriver behandling af tickets og lagring i EU. Den tekniske gennemgang afslører en udbyder af opsummering, supportadgang fra en anden region og en diagnostisk opbevaring, der afviger fra opbevaringen af tickets.

Gennemgangen resulterer i fire konkrete handlinger:

1. Fuldstændiggør scope. Tilføj vedhæftede filer, diagnostiske identifikatorer og AI-behandling til beskrivelsen; kontrollér, om leverandøren bruger noget indhold til egne formål.
2. Afklar leverandørkæden. Indhent modeludbyderens identitet, behandlingssteder, forpligtelser vedrørende opbevaring og godkendelsesdækning. Vurdér relevante overførsler separat.
3. Validér livscyklusadfærden. Kør en syntetisk ticket gennem eksport og sletning. Indhent forklaringen på opbevaring i backups og diagnostik i stedet for at antage, at sletning af en ticket fjerner alle kopier.
4. Fastsæt en betingelse for frigivelse. Hold opsummering deaktiveret, indtil kontrakten og dataflowet er gennemgået. Etablér routing af underretninger om brud og ændringer af underdatabehandlere før brug i produktion.

Beslutningsregistreringen skelner mellem modtaget evidens og spørgsmål, der stadig er åbne. Hvis kernetjenesten er acceptabel, kan godkendelsen eksplicit udelukke AI-funktionen. Den grænse skal også findes i konfigurationen og ændringsstyringen; en note i gennemgangsfilen forhindrer ikke, at nogen aktiverer funktionen senere.

Bevar beslutningen, og genåbn den, når tjenesten ændres

Opbevar den gældende kontraktversion, behandlingens scope, dataflowdiagrammet, sikkerhedsdokumentationen, overførselsvurderingen, loggen over uoverensstemmelser og godkendelsen samlet. Registrér accepterede restrisici, betingelser, ejere og datoer for opfølgning. Bevar begrundelsen for, at en ordning blev accepteret, ikke kun dens status.

Gennemgå igen, når behandlingsformål, aktiverede funktioner, underdatabehandlere, lokationer eller kontraktvilkår ændres væsentligt. Medtag væsentlige hændelser og ny evidens for svagheder i kontroller som udløsere. En planlagt gennemgang supplerer disse udløsere i stedet for at erstatte dem.

Secani kan understøtte denne arbejdsgang ved at modellere tjenesten og eksterne leverandører, forbinde evidens med krav og beslutninger og tildele huller i gennemgangen til ejere. Menneskeligt gennemgåede konklusioner, kildelinks, kommentarer og godkendelser bevarer begrundelsen bag accepten. Det forbinder kontraktgennemgangen med styring af tredjepartsrisiko uden at behandle software som en erstatning for juridisk eller teknisk vurdering.

Kræver aftalen en håndskreven underskrift?

Artikel 28, stk. 9, kræver skriftlig form, herunder elektronisk form. En håndskreven underskrift er ikke i sig selv påkrævet. Bevar evidens for bindende accept og den gældende version; bed de juridiske gennemgående om at afklare usikkerhed om online indarbejdelse eller modstridende vilkår.

Skal alle underdatabehandlere navngives i databehandleraftalen?

Artikel 28 foreskriver ikke en fast liste i selve dokumentet. En vedligeholdt liste kan understøtte godkendelsen, forudsat at ordningen leverer de påkrævede oplysninger, underretninger om ændringer og mulighed for indsigelse. Bevar den liste, der er relevant for jeres gennemgang.

Start den næste leverandørgennemgang med ét repræsentativt dataflow og matrixen for artikel 28. Løs uoverensstemmelsen mellem kontraktmæssige løfter og observerbar drift, før behandling i produktion godkendes.