Databehandleravtale

Hva er en databehandleravtale?

Personvernforordningen, GDPR, skiller mellom den som har ansvaret for personopplysninger og den som behandler dem på oppdrag. Bedriften din er behandlingsansvarlig for opplysninger om kunder og ansatte. Leverandøren som lagrer eller bearbeider dem, for eksempel en skytjeneste eller et AI-verktøy, er databehandler. Mellom dere skal det ligge en databehandleravtale.

Avtalen fastsetter hva leverandøren får gjøre med opplysningene, hvor de lagres, hvem som har tilgang, hvordan de sikres og hva som skjer når avtalen avsluttes. Uten en slik avtale er bruken rett og slett ulovlig, uansett hvor nyttig verktøyet er.

For AI-verktøy fortjener ett punkt ekstra oppmerksomhet: om opplysningene dine brukes til å trene leverandørens modeller. Seriøse leverandører lar deg slå dette av, eller har det avslått som standard i bedriftsavtaler.

Hvorfor det betyr noe for en mindre bedrift

Sjekklisten er kort. Har vi databehandleravtale med alle leverandører som ser personopplysninger? Vet vi hvor dataene lagres? Vet vi om de brukes til trening? Tre spørsmål som tar en time å besvare, og som sparer deg for både gebyrer og vonde kundesamtaler.