Databehandling for rådgivere

Tre roller

• Kunden (sælger eller køber) er dataansvarlig for de oplysninger, kunden selv lægger på Sitavo — fx regnskaber, medarbejderoplysninger i datarummet og beskeder.
• Rådgiveren (firmaet) er som udgangspunkt selvstændig dataansvarlig for de oplysninger, firmaet får adgang til gennem Sitavo. Firmaet fastlægger selv formålet — sin rådgivning af kunden — og er underlagt egne faglige og lovbestemte pligter.
• Sitavo er dataansvarlig for platformen: konti, adgangsstyringen og loggen over, hvad rådgiveren gør på kundens vegne. Sitavo behandler ikke oplysninger på rådgiverens vegne og er derfor ikke rådgiverens databehandler.

Hvorfor rådgiveren normalt er selvstændig dataansvarlig

En mægler, advokat, revisor eller anden rådgiver bruger oplysningerne til sin egen faglige opgave: at vurdere, rådgive og forhandle. Rådgiveren beslutter selv, hvilke oplysninger der er nødvendige, hvordan de bruges i rådgivningen, og hvor længe de skal opbevares (fx efter hvidvaskloven, bogføringsloven eller advokaters og revisorers egne regler). Den, der bestemmer formål og hjælpemidler, er dataansvarlig — også selv om opgaven udføres for kunden.

Det betyder, at kunde og rådgiver ikke skal indgå en databehandleraftale i det almindelige rådgivningsforhold. Rådgiveren skal i stedet selv have et behandlingsgrundlag (typisk aftalen med kunden), give kunden de nødvendige oplysninger om behandlingen og overholde vilkårene for Sitavo-rådgivere.

Hvornår rådgiveren kan være databehandler

I nogle opgaver handler rådgiveren alene efter kundens instruks og har ikke selv et formål med oplysningerne — fx når en rådgiver kun vedligeholder kundens annonce, sorterer dokumenter i datarummet eller videresender beskeder for kunden. Så kan rådgiveren være databehandler for kunden, og så kræver databeskyttelsesforordningen (artikel 28), at kunde og rådgiver har en skriftlig databehandleraftale.

• Det er den konkrete opgave, der afgør rollen — ikke titlen. Er I i tvivl, så aftal det skriftligt med rådgiveren.
• En rådgiver kan være dataansvarlig for én del af opgaven og databehandler for en anden.
• Sitavo er ikke part i aftalen mellem kunde og rådgiver og kontrollerer den ikke.

Det sørger Sitavo for

• Rådgiveren ser kun det, kunden giver adgang til — for de annoncer, områder og den periode, kunden vælger.
• Alt, rådgiveren gør på kundens vegne — også afviste forsøg og eksport af kundelister — logges og vises for kunden.
• Kunden kan til enhver tid ændre eller trække adgangen tilbage. Så ophører rådgiverens adgang straks.
• Kun den ansvarlige rådgiver og de kolleger, kunden kan se, har adgang til kundens oplysninger.

Skabelon: databehandleraftale mellem kunde og rådgiver

1. Parter

• Den dataansvarlige («kunden»): [Navn / virksomhed], [CVR-nr.], [adresse].
• Databehandleren («rådgiveren»): [Rådgiverfirmaets navn], [CVR-nr.], [adresse].

2. Baggrund og formål

Aftalen gælder rådgiverens behandling af personoplysninger på kundens vegne i forbindelse med [beskriv opgaven, fx «vedligeholdelse af salgsannoncen og datarummet for virksomheden X på Sitavo»]. Rådgiveren må kun behandle oplysningerne til dette formål.

3. Behandlingens art og omfang

4. Instruks

Rådgiveren behandler kun oplysningerne efter kundens dokumenterede instruks, herunder de rettigheder kunden har givet på Sitavo. Finder rådgiveren, at en instruks er i strid med databeskyttelsesreglerne, underretter rådgiveren straks kunden.

5. Fortrolighed

Kun personer hos rådgiveren, der har brug for oplysningerne i opgaven, må få adgang til dem. De er forpligtet til fortrolighed — også efter opgavens ophør.

6. Sikkerhed

Rådgiveren træffer passende tekniske og organisatoriske sikkerhedsforanstaltninger (databeskyttelsesforordningens artikel 32), herunder [fx personlige logins, adgangskontrol, kryptering af bærbare enheder, sikker sletning]. Oplysninger fra Sitavo må kun downloades, når opgaven kræver det.

7. Underdatabehandlere

Rådgiveren må kun bruge andre databehandlere (underdatabehandlere) med kundens [forudgående specifikke / generelle skriftlige] godkendelse. Godkendte underdatabehandlere: [navn, opgave, land]. Rådgiveren pålægger underdatabehandlere de samme forpligtelser som i denne aftale. Sitavo er platformen, kunden selv har valgt, og er ikke rådgiverens underdatabehandler.

8. Overførsel til lande uden for EU/EØS

Oplysningerne må kun overføres til lande uden for EU/EØS efter kundens instruks og med et gyldigt overførselsgrundlag. [Ingen overførsler / angiv land og grundlag].

9. Bistand til kunden

Rådgiveren bistår kunden med at besvare anmodninger fra de registrerede (fx om indsigt eller sletning) og med kundens forpligtelser om sikkerhed, anmeldelse af brud, konsekvensanalyser og forudgående høring (artikel 32–36), i det omfang det er relevant for opgaven.

10. Brud på persondatasikkerheden

Rådgiveren underretter kunden uden unødig forsinkelse og senest [24/48] timer efter at være blevet opmærksom på et brud på persondatasikkerheden, med de oplysninger kunden har brug for til at anmelde bruddet til Datatilsynet.

11. Sletning og tilbagelevering

Når opgaven ophører, sletter eller tilbageleverer rådgiveren efter kundens valg alle personoplysninger, medmindre lovgivningen kræver opbevaring. Adgangen på Sitavo ophører, når kunden trækker den tilbage.

12. Dokumentation og tilsyn

Rådgiveren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af denne aftale, og giver mulighed for revision, herunder inspektion, foretaget af kunden eller en revisor, kunden har bemyndiget.

13. Ikrafttræden og ophør

Aftalen træder i kraft ved underskrift og gælder, så længe rådgiveren behandler personoplysninger på kundens vegne. Ved uoverensstemmelse mellem denne aftale og parternes øvrige aftaler går denne aftale forud for så vidt angår behandling af personoplysninger.

Underskrifter