Databehandleraftaler ved cloudkøb: Hvilke punkter bør danske indkøbere kontrollere?

Forstå cloud-løsningen og dataflowet først

Start med jeres eget kendskab til løsningen. Datatilsynet har udgivet en vejledning om cloud. Et af de første punkter er, at cloud ikke bare er cloud.

Leverancemodellen afgør, hvor meget af sikkerheden og behandlingen I selv konfigurerer, og hvor meget udbyderen står for. Ved IaaS får I adgang til infrastruktur og styrer selv en stor del. Standardprodukter som Google Drev eller OneDrive er i højere grad færdige tjenester, hvor I køber et produkt, mange andre også bruger.

Lav en dataflowkortlægning, før I læser aftalen. Afklar hvilke kategorier af personoplysninger der behandles – almindelige oplysninger, følsomme oplysninger, CPR-numre – og til hvilke formål.

Afklar også, hvor data opbevares og behandles geografisk, hvilke parter og systemer der indgår, og hvorfra leverandørens personale kan tilgå data ved support, drift og fejlretning. Kortlægningen er målestokken, I bagefter holder databehandleraftalen op imod.

Medregn samspillet mellem flere tjenester. Kombinerer I fx skylagring med et SaaS-system og et backupværktøj, kan de samme personoplysninger ligge hos flere udbydere. Hver udbyder har sit aftalegrundlag og sin kæde af underleverandører. Det giver flere steder, hvor behandlingsgrundlag, adgang og sletning skal være styr på.

Kontroller at databehandleraftalen foreligger og dækker cloud-leverancen

Kravet om en databehandleraftale følger af databeskyttelsesforordningens artikel 28, stk. 3. Cloud-løsninger behandler typisk personoplysninger for jer og er derfor databehandlere; der skal indgås en databehandleraftale. Kontroller først, at aftalen foreligger – eller at leverandørens standardvilkår er accepteret, så I kan dokumentere dato og version. Lav en intern oversigt over leverandører med og uden databehandleraftale.

Hold aftalen op mod jeres kortlægning. Den skal beskrive behandlingens formål og varighed, arten af behandlingen, typerne af personoplysninger, kategorierne af registrerede samt leverandørens forpligtelser og jeres instrukser. Er aftalen kun en generel standardtekst uden at nævne den konkrete cloud-løsning eller de konkrete behandlinger, I har købt, er det uafklaret, om den reelt dækker behandlingen.

Datatilsynets cloud-vejledning peger på fem områder, du som dataansvarlig skal have styr på: kendskab til cloud-løsningen, indgåelse af databehandleraftalen, tilsyn med cloud-leverandøren, risikovurderingen og overførsler til tredjelande. Brug dem som tjekliste. Verificér hvert punkt mod den faktiske leverance.

Gennemgå underdatabehandlere og kæden af parter

Store cloud-udbydere bruger typisk en række underdatabehandlere, ofte i tredjelande; overførsel af data må forventes. Spørg ikke kun, om der bruges underdatabehandlere. Spørg hvem de er, hvad de udfører, og hvor de behandler data – herunder support, overvågning, sikkerhedstjenester og den infrastruktur, løsningen kører på.

Aftalepunkter, der bør stå i kontrakten: en liste over aktuelle underdatabehandlere, en procedure for hvordan ændringer i listen varsles (kanal og frist), jeres ret til at gøre indsigelse mod en ny underdatabehandler, og hvad der sker, hvis I gør indsigelse. Kontroller også, at leverandøren viderefører de samme forpligtelser til sine underdatabehandlere. Så knækker kæden ikke et led længere nede.

Praktisk: bed om listen som et dokument med dato – ikke kun et link til en hjemmeside, der kan ændres uden varsel. Noter, hvornår I sidst har fået den bekræftet. Underdatabehandlere i tredjelande udløser krav om overførselsgrundlag, så listen er samtidig indgangen til næste kontrolpunkt.

Afstem overførselsgrundlag ved tredjelandsoverførsler

Overførsel af personoplysninger til tredjelande kræver et gyldigt overførselsgrundlag, fx en af Kommissionen truffet afgørelse om sikkerhedsniveauet eller Kommissionens standardkontrakter. I som dataansvarlige skal sikre, at grundlaget foreligger. Opgaven kan ikke overlades til leverandøren.

Bed om dokumentation frem for forsikringer. Få oplyst hvilke lande data overføres til, hvilken mekanisme der anvendes for hver enkelt overførsel, og hvilke enheder der er parter i standardkontrakterne. Få også oplyst, hvordan I får besked, hvis overførslerne ændrer sig.

Retsstillingen omkring tredjelandsoverførsler har været præget af usikkerhed. Regelforum har i en dansk anbefaling om udfordringer ved cloud-tjenester peget på, at sager ved EU-Domstolen rejste tvivl om gyldigheden af eksisterende overførselsgrundlag. Det rejste også tvivl om omfanget af den risikovurdering, der påhviler den dataansvarlige. Konsekvensen er, at overførselsgrundlaget skal kontrolleres løbende – ikke kun ved kontraktindgåelsen.

Overførselsgrundlag for tredjelandsoverførsler – sammenligning af mekanismer

Tag stilling til standardvilkår, når individuel forhandling ikke er mulig

Mange cloud-tjenester udbydes af store internationale, ofte amerikanske, virksomheder som Microsoft og Amazon. Regelforum beskriver, at det er yderst vanskeligt at forhandle individuelle kontrakter med disse selskaber. Det kan samtidig være svært at få adgang til kontrol af deres databehandling, selv om den anses for at være i overensstemmelse med reglerne.

Del kravene op i tre grupper, før I går i forhandling. Gruppe 1: krav I ikke kan fravige – fx at der foreligger en databehandleraftale, og at der er et overførselsgrundlag, hvis data forlader EU. Gruppe 2: krav der kan opfyldes teknisk eller organisatorisk på anden måde – fx opbevaring inden for EU, kundestyret adgang, logning og dataminimering. Gruppe 3: krav I kan opgive mod andre foranstaltninger.

Opdelingen gør det tydeligt, hvornår en leverandør skal afvises, og hvornår I kan gå videre med kompenserende tiltag.

Afviser leverandøren en ændring, så dokumentér afvisningen og den kompenserende foranstaltning i en intern note med dato. Det er den dokumentation, I kan fremlægge, hvis Datatilsynet spørger, hvordan I har håndteret risikoen. Bemærk samtidig, at mindre udbydere ikke automatisk er lettere. Regelforum peger på, at også brugen af mindre udbydere af cloud-tjenester kan indebære databeskyttelsesretlige udfordringer.

Fastlæg tilsyn, kontroladgang og dokumentation

Datatilsynets cloud-vejledning formulerer det direkte: Jo mere der kan gå galt ved behandlingen hos databehandleren – jo større risiko – jo større krav stilles der til dit tilsyn. Tilsynet er ikke en frivillig gestus. Det skal føres for at sikre, at databehandleren efterlever de aftalte krav i databehandleraftalen. Det skal også sikre efterlevelse af kravene i databeskyttelsesretten.

Aftal, hvordan tilsynet kan udføres i praksis. Hvilken dokumentation stiller leverandøren til rådighed – fx uafhængige revisionserklæringer og certificeringer? Kan I få indsigt i behandlingen gennem spørgeskemaer eller rapporter? Er der adgang til revision med et nærmere aftalt varsel, og hvilke dele af behandlingen er eventuelt undtaget?

Fastlæg internt, hvem der følger op, hvor ofte det skal ske, og hvordan tilsynet dokumenteres, så I kan vise, at det er ført. Lad frekvensen følge risikoen. Behandlinger med mange eller følsomme oplysninger kræver hyppigere og mere indgående kontrol. Behandlinger med lav risiko kan kontrolleres sjældnere.

Aftal leverandørens bistand til risikovurdering og DPIA

Databehandleren eller leverandøren skal bistå med oplysninger og dokumentation til jeres risikovurdering, herunder til en konsekvensanalyse (DPIA). Den dataansvarlige skal samtidig udarbejde risikovurderingen i forhold til de registreredes rettigheder. Den opgave kan ikke skubbes over til leverandøren.

Skriv bistanden ind i aftalen: hvad leverandøren skal levere – beskrivelse af behandlingen, tekniske og organisatoriske sikkerhedsforanstaltninger, oplysninger om overførsler og underdatabehandlere, procedure ved sikkerhedsbrud – hvor hurtigt leverandøren skal svare, og i hvilket format. Uden svarfrister ender vurderingen med at stå stille i afventen på leverandørens dokumentation.

Er restrisikoen efter jeres vurdering fortsat høj, er Datatilsynet modtager. I skal altså kunne dokumentere, hvad der er gjort, og hvori den resterende risiko består.

Proces til risikovurdering og DPIA i samarbejde med cloud-leverandør

Kontroller backup, sletning og adgangsstyring i cloudmiljøet

Kravene til persondata omfatter opbevaring, adgangsstyring og mulighed for sletning. De skal håndteres i backup-setuppet – ikke kun i produktionssystemerne.

Backup-arkitekturen bør afspejle, hvad I skal kunne gendanne. 3-2-1-reglen – 3 kopier, 2 forskellige medier, 1 offsite – er et anerkendt minimum.

Nyere anbefalinger udvider den til 3-2-1-1-0 med en uforanderlig (immutable) kopi og nultolerance for fejl ved testgendannelse. En uforanderlig kopi kan ikke krypteres eller slettes af en angriber.

To forhold går igen i praksis: En backup, der ikke testes, er ikke en plan. Synkronisering – fx OneDrive eller Dropbox – er ikke en sikkerhedskopi, fordi ransomware krypterer alle spejlede kopier med det samme.

Ansvaret for data i Microsoft 365 ligger hos jer selv. Platformen drives af Microsoft, men Exchange, Teams og SharePoint skal I selv sørge for backup af.

Sæt RPO og RTO efter behovet, ikke efter softwarens standardindstillinger. For mange SMV'er er daglig backup (RPO 24 timer) og en gendannelsestid på 4-8 timer et realistisk udgangspunkt.

Aftal desuden, hvem hos leverandøren der kan tilgå jeres data, at adgangen logges, og hvordan personoplysninger slettes eller tilbageleveres ved aftalens ophør.

Er det et krav i jeres setup, at data holdes inden for EU, skal det fremgå af aftalen. Sammen med en databehandleraftale er det et af de punkter, I bør stille som krav, når I vælger cloud-leverandør.