Databehandleravtaler m.m. etter GDPR

Transkript

1

2 Databehandleravtaler m.m. etter GDPR Pågående arbeid med å lage gode maler et samarbeid med KS Kjersti Jensen Jurist Oslo kommune Byrådsavdelingen for finas

3 Det var en gang Hvordan har møtet med leverandørene vært? Hva sier leverandørene? «Det er ingen andre enn dere som stiller slike krav» «Vi oppfyller kravene i EU Model Clause» «By the way vi har dynamiske avtaler med rang før EU Model Clause» «Det er HELT uaktuelt å tilpasse avtalene våre til denne leveransen» Vi var kanskje ikke helt «på stell» selv heller? «Jada, leverandøren har underskrevet datatilsynets mal for Databehandleravtaler» «Vi må jo stole på at leverandørene tar personvern alvorlig» «Vi bruker SSA, og der er jo personvern regulert!»

4 Fra juristens hverdag Et visst behov for å være «superselger» «Dette kan vi helt unødvendig med en jurist» «Så lenge risikovurderingen ikke viser at det er fare for «liv og helse» så behøver vi ikke å tenke personvern» «Informasjon om hvem som har tilgangsrettigheter til et system, behøver ikke noen beskyttelse» Så hva gjorde vi? Jurist allierte seg med sikkerhetsansvarlig Avtale 1 40% av hva som burde vært med Avtale 2 50% av hva som burde vært med osv Så kom det endelige utkastet til GDPR og en ny sjef som skjønte sikkerhet og penger Vips «Dette er viktig vi må forsøke å være i alle fall 95%»

5 Hovedutfordringene våre: Nytt regelverk - GDPR Bruk av skytjenester Lange kjeder av underleverandører Mangelfulle oversikter over hva som behandles Innenfor og utenfor EU/EØS Bruk av EU Model Clause Likebehandling av alle leverandører Og helt ærlig, så møtte vi også noen slike

6 Lokalisering av data / tilgang til data Personopplysninger, kan ikke data lagres utenfor EØS uten bruk av særlige avtaleinstrumenter etc. = JURISTMAT Aksessering av personopplysninger, kan ikke foretas fra steder utenfor EØS uten bruk av særlige avtaleinstrumenter etc. = JURISTMAT Omfatter også vedlikeholdstjenester og support NB! Dette gjelder hele leverandørkjeden!! Særlig relevant ved bruk av skytjenester!!

7 Hva gjorde vi? Anskaffelsesjurist møter personvernjurist møter sikkerhetssjef Vi startet med: Datatilsynets mal Oppdaterte mot nye krav i GDPR Tok inn sikkerhetskrav fra bilag 1 i SSA Tok inn krav i Databehandleravtalen i bilag 1 personvern Og så var det dette med utenfor EU/EØS: Kan vi nøye oss med bare å bruke EU Model Clause for hele leverandørkjeden? Nei sa art. 29 gruppen EU Model Clause kan ikke brukes innenfor EU/EØS

8 Litt mer om EU Model Clause EUs Model Clause konseptet består i realiteten av 6 deler: Selve beslutningen fra EU inneholder 5 deler, hvorav 3 er standardiserte. Videre forutsettes det at EU Model Clause suppleres av «Kundens instruks til Databehandler/Dataimportør». Totalt skal vi derfor forholde oss til 6 dokumenter: 1. Tolkningsmomenter - Nr (preambelen) 2. Selve avgjørelsen fra EU Artikkel 1-8 Selve avtaleteksten til EU Model Clause - som igjen består av: 3. Standard avtaletekst 4. Bilag 1 Kundens beskrivelse av sin virksomhet, den behandling som skal gjøres m.m. 5. Bilag 2 Leverandørens beskrivelser sin virksomhet, sikkerhetstiltak m.m. 6. «Kundens instruks til Databehandler/Dataimportør»

9 Hvordan kunne vi sikre likebehandling - innenfor og utenfor EU/EØS? For EØS baserte leverandører benyttet vi: Gode beskrivelser og krav i bilag 1 til SSA Vår «nyutviklede» Databehandleravtale For leverandører utenfor EØS benyttet vi: Standarddokumentene i EU Model Clause Bilag 1 til EU Model Clause = beskrivelser og krav fra bilag 1 til SSA Bilag 2 til EU Model Clause = Leverandørens svar (normalt tilsvarende svarene i bilag 2 til SSA) «Kundens instruks til Databehandler/Dataimportør» = som vi gjorde identiske med kravene i databehandleravtalen Dvs. databehandleravtalen ble «skrevet om» til en «behandlingsansvarliges instruks»

10

11 Hvordan kunne vi ta dette videre? Kunne vi gjøre det enklere for dem som ikke steller med GDPR til daglig for GDPR er komplisert!!! Kunne vi forbedre det offentliges forhandlingsposisjon? Like krav vil kunne gjøre kravene vanskeligere å avise Kunne vi gjøre det enklere for leverandørene? Like krav vil kunne gjøre det lettere å standardisere leveransen? Kunne vi kort og godt forsøke å få til en standard? Hvem kan vi få med oss? Vips vi fant vi en driftig dame i KS

12 Hva forsøker vi å standardisere? Databehandleravtale (innen EØS) Vedlegg til EU Model Clause med instruks (utenfor EØS) SSA bilag 1 Informasjonssikkerhet Personvern Trolig behov for maler tilpasset den enkelte type SSA

13 Kontaktinformasjon Kjersti Jensen Tlf

14 Vi kommer tilbake med mer!!!