Databehandleravtale ved kjøp av SaaS: hva må den inneholde, og hva bør dere kreve?

Nesten alle SaaS-tjenester behandler personopplysninger, enten det er et HR-system, et CRM, en regnskapsløsning eller et KI-verktøy. Kunden er da som regel behandlingsansvarlig og leverandøren databehandler. Det betyr at kunden har det rettslige ansvaret for leverandørens behandling, og databehandleravtalen er det viktigste verktøyet for å styre den risikoen.

Når trenger dere en databehandleravtale ved kjøp av SaaS?

Dere trenger en databehandleravtale når en SaaS-leverandør behandler personopplysninger på deres vegne. Plikten følger av GDPR art. 28 nr. 3, som gjelder i Norge gjennom personopplysningsloven § 1. Lagring, drift, sikkerhetskopiering og brukerstøtte med tilgang til data er alle behandling.

Avgjørende er hvem som bestemmer formålet med og midlene for behandlingen. Bruker leverandøren opplysningene til egne formål, for eksempel produktutvikling eller trening av KI-modeller, er den for den delen behandlingsansvarlig selv. Etter GDPR art. 28 nr. 10 blir en databehandler som går ut over instruksene, behandlingsansvarlig for den behandlingen. EDPB har utdypet skillet i Guidelines 07/2020.

Før avtalen inngås, skal dere også forsikre dere om at leverandøren gir tilstrekkelige garantier for at kravene i forordningen oppfylles, jf. GDPR art. 28 nr. 1. Det er en selvstendig plikt, og den oppfylles ikke bare ved å signere en avtale.

Hva må en databehandleravtale for SaaS inneholde?

Avtalen skal være skriftlig, og elektronisk form er tilstrekkelig etter GDPR art. 28 nr. 9. Den skal beskrive behandlingens gjenstand og varighet, art og formål, typen personopplysninger, kategoriene av registrerte og den behandlingsansvarliges plikter og rettigheter. I tillegg krever GDPR art. 28 nr. 3 bokstav a til h at databehandleren forplikter seg til følgende.

Databehandleren skal også straks si fra dersom en instruks etter dens oppfatning er i strid med regelverket. Kommisjonen har vedtatt standard personvernbestemmelser for forholdet mellom behandlingsansvarlig og databehandler i gjennomføringsbeslutning (EU) 2021/915, jf. GDPR art. 28 nr. 7. De er frivillige, men fungerer godt som målestokk når leverandørens egen avtale skal vurderes.

Databehandleravtalen flytter ikke ansvaret over på leverandøren. Den er dokumentasjonen på at dere har tatt ansvaret.

Hvordan bør underleverandører reguleres?

Databehandleren kan bare bruke underleverandører med forhåndsgodkjenning fra den behandlingsansvarlige, enten særskilt eller generelt, jf. GDPR art. 28 nr. 2. Ved generell godkjenning skal leverandøren varsle om planlagte endringer, slik at dere får mulighet til å protestere. I SaaS er generell godkjenning det vanlige, fordi tjenesten bygger på skyplattformer, e-posttjenester og støtteverktøy som skiftes ut over tid.

Etter GDPR art. 28 nr. 4 skal de samme personvernpliktene videreføres til underleverandøren, og den opprinnelige databehandleren er fullt ansvarlig overfor dere dersom underleverandøren ikke oppfyller sine plikter. EDPB har i Opinion 22/2024 lagt til grunn at den behandlingsansvarlige til enhver tid skal ha tilgang til informasjon om hvem alle underleverandørene i kjeden er, og at det endelige ansvaret for å godta dem ligger hos den behandlingsansvarlige.

Retten til å protestere er lite verdt hvis eneste følge er at dere må si opp tjenesten uten kompensasjon. Krev minst 30 dagers varsel, en oppdatert liste over underleverandører med navn, land og funksjon, og rett til å si opp uten oppsigelsesgebyr og med forholdsmessig refusjon av forskuddsbetalt vederlag hvis dere ikke godtar endringen.

Hva gjelder for overføring ut av EØS?

Overføring til land utenfor EØS må ha grunnlag i GDPR kap. V. Det gjelder også når en underleverandør i USA har tilgang til data fra et datasenter i Europa, for eksempel gjennom brukerstøtte. Databehandleravtalen bør derfor kreve at all overføring er listet, med land og overføringsgrunnlag.

De vanligste grunnlagene er en adekvansbeslutning eller Kommisjonens standardkontraktsbestemmelser i gjennomføringsbeslutning (EU) 2021/914. Bruker dere standardkontraktsbestemmelsene, må det også gjøres en overføringsvurdering. For USA kan leverandøren støtte seg på Data Privacy Framework dersom mottakeren er sertifisert. Hvor robust det rammeverket er, og hva dere bør ha i reserve, er forklart i artikkelen om overføring av personopplysninger til USA og Data Privacy Framework.

Varsling av sikkerhetsbrudd i databehandleravtalen

Databehandleren skal varsle den behandlingsansvarlige uten ugrunnet opphold etter å ha fått kjennskap til et brudd på personopplysningssikkerheten, jf. GDPR art. 33 nr. 2. Loven angir ingen timefrist for leverandøren. Det gjør den for dere, siden dere som hovedregel skal melde bruddet til Datatilsynet innen 72 timer.

Avtalen bør derfor fastsette en konkret frist, for eksempel 24 eller 48 timer, og hva varselet skal inneholde. Uten det risikerer dere å få varselet så sent at fristen overfor Datatilsynet allerede er i fare. Se hva dere må gjøre ved brudd på personopplysningssikkerheten.

Revisjon, sletting og exit

Retten til revisjon etter GDPR art. 28 nr. 3 bokstav h kan ikke avtales bort. Store leverandører tilbyr gjerne revisjonsrapporter og sertifiseringer i stedet for egne inspeksjoner, og det er ofte en praktisk løsning. Pass på at avtalen likevel gir rett til mer innsyn ved konkret mistanke om brudd eller pålegg fra tilsynsmyndighet, og at kostnadsreglene ikke gjør retten illusorisk.

Ved opphør skal leverandøren slette eller tilbakelevere opplysningene etter deres valg. Avtalen bør angi format, frist og bekreftelse på sletting, også i sikkerhetskopier. Dette henger tett sammen med vilkårene for exit fra skytjenesten, og de to bør leses i sammenheng.

Ansvar og ansvarsbegrensning

Både dere og leverandøren kan bli erstatningsansvarlige overfor de registrerte etter GDPR art. 82, og databehandleren svarer når den har brutt sine særskilte plikter eller handlet utenfor instruksene. Overtredelsesgebyr kan ilegges begge. Mellom partene er det derimot avtalen som avgjør hvem som til slutt bærer tapet.

Mange SaaS-avtaler lar den generelle ansvarsbegrensningen også omfatte brudd på databehandleravtalen. Det kan bety at dere står igjen med kostnadene til avvikshåndtering, varsling og krav fra de registrerte, selv om leverandøren har skylden. Vurder et eget, høyere ansvarstak for personvernbrudd. Se mer om ansvarsbegrensning i SaaS-avtaler.

Hva bør kunden kreve i en databehandleravtale for SaaS?

Minimumskravene i loven er ikke det samme som en god avtale. Tabellen viser hvor leverandørens standardvilkår typisk er svake.

Behandler tjenesten særlige kategorier av personopplysninger eller bruker den KI, bør dere vurdere om det kreves en personvernkonsekvensvurdering før avtalen inngås. Se DPIA for KI-verktøy og pilarsiden om personvern.

Hva bør virksomheten gjøre?

1. Kartlegg hvilke SaaS-tjenester som behandler personopplysninger, og kontroller at det finnes en databehandleravtale for hver av dem.
2. Vurder leverandøren før avtalen inngås, med sikkerhetsdokumentasjon, sertifiseringer og liste over underleverandører.
3. Sammenlign leverandørens avtale med standardbestemmelsene i gjennomføringsbeslutning (EU) 2021/915 og noter avvikene.
4. Forhandl inn konkret varslingsfrist, aktiv varsling om nye underleverandører og oppsigelsesrett uten kostnad.
5. Kontroller overføringene ut av EØS og dokumenter overføringsgrunnlaget for hver mottaker.
6. Avklar om leverandøren bruker data til egne formål, særlig til trening av KI-modeller.
7. Se databehandleravtalen og ansvarsbegrensningen i sammenheng, og vurder et eget ansvarstak for personvernbrudd.

Les også pilarsiden om kontrakter for flere artikler om SaaS-avtaler.

Spørsmål og svar

Neste faglige kontroll: 31. mars 2027