En databehandler må kun bruge jeres oplysninger efter jeres instruks. Bruger den dem til sine egne formål, er den for den del ikke længere databehandler. Art. 28, stk. 10, gør den til dataansvarlig for behandlingen, og Datatilsynet ser det som en videregivelse fra jer til leverandøren. Det ændrer spørgsmålet fra en kontrakt til et lovligt grundlag. Situationen opstår ad to veje. Enten handler leverandøren på egen hånd i strid med aftalen, eller også står det i vilkårene, som I har accepteret.
Når leverandøren går uden for instruksen
Datatilsynets vejledning om dataansvarlige og databehandlere har et enkelt eksempel. Et IT-firma driver et medlemssystem for en fitnesskæde og sælger medlemmernes mailadresser til et tøjfirma. Firmaet bliver selvstændigt dataansvarlig for videregivelsen og ansvarlig for, at den er lovlig (eksempel 10). EDPB har et lignende eksempel om et marketingbureau, der bruger kundens database til sin egen forretning (retningslinjer 07/2020, punkt 81).
Sker det uden jeres tilladelse, er der ifølge Datatilsynets cloudvejledning fra marts 2022 tale om et brud på persondatasikkerheden hos jer, og leverandøren er selvstændigt ansvarlig for behandlingen. Bruddet skal behandles som andre brud. Vurderingen af, om det er anmeldepligtigt, starter i er det et brud?
Når det står i vilkårene
Den anden vej er mere almindelig. Leverandøren forbeholder sig i aftalen at bruge oplysninger til at forbedre tjenesten, til statistik, til produktudvikling eller til at træne modeller. Cloudvejledningen stiller to betingelser, hvis I vil acceptere det.
- Formålene må ikke være uforenelige med det, I oprindeligt indsamlede oplysningerne til.
- I skal have et retligt grundlag for at videregive oplysningerne, og leverandøren skal have sit eget for at behandle dem.
Datatilsynet går et skridt videre på to punkter. Tager leverandøren et generelt forbehold, er der tale om en videregivelse af alle de overladte oplysninger, også dem, den aldrig bruger, fordi den reelt har kontrollen over dem. Og I skal til en vis grad påse, at modtageren har et grundlag. Er det usandsynligt, at leverandøren har det, er det ikke lovligt at videregive.
Det betyder ikke, at alle sådanne vilkår er uacceptable. Cloudvejledningens eksempel 5 er en konsulentvirksomhed, der vil bruge et CRM-system. Leverandøren pseudonymiserer oplysningerne og bruger dem til at forbedre funktionaliteten og til intern rapportering og kapacitetsplanlægning. Virksomheden vurderer, at formålene er forenelige, og at der er tale om en legitim interesse. Så er vilkåret ingen hindring for at bruge tjenesten, og leverandøren er selvstændigt ansvarlig for sin behandling.
Eksemplet viser, at det er vurderingen, der tæller. Virksomheden har undersøgt vilkårene, taget stilling og dermed noget at vise frem.
Regionen og Chromebook-sagen
Datatilsynet traf 30. januar 2024 afgørelse om kommuners brug af Chromebooks i folkeskolen. Her var der hjemmel til at videregive elevernes oplysninger til levering af tjenesterne, sikkerhed og pålidelighed, kommunikation og retlige forpligtelser, men folkeskoleloven var ikke klar nok til vedligeholdelse og forbedring af tjenesterne, måling af ydeevne og udvikling af nye funktioner.
Samme år skrev tilsynet til en region, der overvejede Microsoft 365, at den skulle vide, hvilke oplysninger der behandles og hvorfor, og finde ud af, om Microsoft selv bruger dem. Var det tilfældet, skulle regionen tage stilling til, om den overhovedet kunne videregive dem, og med hvilken hjemmel.
Begge sager handler om offentlige myndigheder, der skal have en klarere hjemmel. Private står anderledes og vil typisk se på legitim interesse. Det, I skal have opklaret om leverandørens brug af oplysningerne, er det samme. Hvordan det ser ud i en konkret aftale, kan læses i databehandleraftale med Microsoft.
Hvad I skal lede efter
Formuleringerne er sjældent markeret som egne formål. Søg i aftalen, privatlivsmeddelelsen og produktvilkårene efter ordene forbedring, udvikling, analyse, statistik, træning, aggregerede data, anonymiserede data, partnere og forretningsformål.
Vær særlig opmærksom på tre ting.
- Anonymisering som formål. Reelt anonyme data er uden for reglerne, men et ord i vilkårene viser ikke, at de er det. Spørg, hvad leverandøren gør, og hvem der bestemmer over det.
- Pseudonymiserede data. De er stadig personoplysninger hos den, der kan henføre dem til en person, se pseudonymisering og anonymisering.
- Følsomme oplysninger. Art. 9 og personnumre gør videregivelsen langt vanskeligere. Et grundlag, der kan bære kundeadresser, bærer ikke uden videre helbredsoplysninger.
AI har gjort spørgsmålet mere presserende, fordi nye funktioner kan ændre, hvad data bruges til, se databehandleraftale med AI-leverandør.
Når I har fundet noget
Beskriv, hvilke oplysninger der er omfattet, til hvad, og hvad leverandøren oplyser om sit grundlag. Stil så fire spørgsmål.
- Kan det slås fra, enten i aftalen eller i en indstilling?
- Er formålet foreneligt med jeres oprindelige formål?
- Hvilket grundlag har I for at videregive?
- Har I oplyst de registrerede om modtageren?
Kan det slås fra, så gør det, og dokumentér indstillingen. Kan det ikke, og kan I ikke finde et grundlag, må oplysningerne holdes ude, eller leverandøren skiftes. Den beslutning tager ledelsen. Hvor grundlaget er tvivlsomt, er det et spørgsmål til advokat. Vurderingen hører hjemme i konsekvensanalysen, når behandlingen er omfattet, se DPIA før kontrakten.
En DPO rådgiver og kontrollerer, at spørgsmålet er stillet, og at svaret er dokumenteret. Den IT-mæssige del er at få fastslået, hvad der faktisk sendes, for vilkårene siger, hvad leverandøren må, og sjældent, hvilke data der forlader systemet.
Det skal I lade være med
- At læse kun databehandleraftalen · formålene kan stå i produktvilkår og privatlivstekster.
- At afvise alle forbehold på forhånd · pseudonymiseret statistik kan være i orden, når det er vurderet.
- At lade en ny funktion gå uden om vurderingen · nye formål kommer ofte med en opdatering.
Det skal I kræve af den eksterne
- ☐ En gennemlæsning af vilkårene med blik for egne formål.
- ☐ En vurdering af, hvad der faktisk sendes til leverandøren.
- ☐ Rådgivning om de to betingelser i cloudvejledningen.
- ☐ Kontrol af, at beslutningen er dokumenteret og taget af ledelsen.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 1, litra a, art. 9 og art. 28, stk. 3 og 10.
- Datatilsynet: Vejledning om cloud, marts 2022: afsnittet om egne formål og eksempel 5.
- Datatilsynet: Vejledning om dataansvarlige og databehandlere: eksempel 10.
- EDPB: Retningslinjer 07/2020, version 2.1: punkt 81.
- Datatilsynet: Region Syddanmarks påtænkte brug af Microsoft 365, 2024: omtaler også Chromebook-afgørelsen af 30. januar 2024.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Dataansvarlig eller databehandler · Behandlingsgrundlag
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
