Nøglepunkter
- Som dataansvarlig har du ansvaret. En udbyder kan give dig dokumentation og hjælp, men ikke overtage dine pligter.
- Kræv en databehandleraftale, en liste over underdatabehandlere og klare svar om, hvor data behandles.
- Spørg til opbevaring og sletning af beskedindhold og logs, adgangsstyring, hændelser og revision.
- Gem aftalen, svarene og din vurdering, så du kan dokumentere dine valg over for Datatilsynet.
- Det er generel information og ikke juridisk rådgivning.
Kan en udbyder love fuld compliance med GDPR?
Nej. Som dataansvarlig bestemmer du, hvorfor og hvordan modtagernes oplysninger bruges, og ansvaret kan ikke flyttes over på en udbyder. Udbyderen er normalt databehandler og behandler oplysningerne på dine vegne efter din instruks. En udbyder kan dokumentere, hvordan den beskytter data, og hjælpe dig med at opfylde dine forpligtelser. Den kan ikke love, at din brug er lovlig.
Datatilsynet forventer generelt, at du som dataansvarlig vælger en databehandler, der kan dokumentere tilstrækkelig sikkerhed, at du har en skriftlig aftale og giver klare instrukser, at du fører tilsyn i et omfang, der svarer til risikoen, og at du kan vise, hvad du har gjort. Hvor meget tilsyn der er nok, afhænger af, hvor omfattende og følsomme dine data er. Det er generel information og ikke juridisk rådgivning.
Hvad skal en databehandleraftale indeholde?
GDPR kræver en skriftlig aftale, når en udbyder behandler personoplysninger for dig. Læs den, og tjek, at den som minimum dækker punkterne nedenfor. Til nogle formål, fx fakturering og misbrugsforebyggelse, kan udbyderen selv være dataansvarlig, så få det beskrevet tydeligt i aftalen.
- Hvad udbyderen må: formål, typer af oplysninger (telefonnumre, beskedindhold, logs) og at den kun følger dine instrukser
- Underdatabehandlere: hvem de er, og hvordan du får besked om ændringer og kan gøre indsigelse
- Sikkerhedsforanstaltninger: hvad udbyderen gør for at beskytte data, og at medarbejdere har tavshedspligt
- Hjælp til dine forpligtelser: fx anmodninger fra de registrerede og anmeldelse af sikkerhedsbrud
- Sletning eller tilbagelevering af data, når aftalen ophører
- Dokumentation og revision: at du kan få oplysninger og få udført kontrol
Hvordan vurderer du underdatabehandlere og overførsler?
En beskedudbyder bruger typisk flere led: eget hosting, upstream-udbydere, operatører og værktøjer til support og overvågning. Bed om en liste over underdatabehandlere med land og formål og om, hvordan du får besked, før den ændres.
Overfører udbyderen eller en underdatabehandler data til et land uden for EU/EØS, skal der være et gyldigt overførselsgrundlag, fx en tilstrækkelighedsafgørelse eller EU-Kommissionens standardkontraktbestemmelser. Også fjernadgang fra et tredjeland, fx til support, kan tælle som en overførsel. For internationale beskeder gælder desuden, at telefonnummer og indhold nødvendigvis passerer netværk i modtagerlandet, så “ingen data forlader EU” er sjældent muligt for al trafik.
- Hvilke lande der behandler og opbevarer beskedindhold, logs og kontooplysninger
- Hvilket overførselsgrundlag der bruges for hvert land uden for EU/EØS
- Hvem hos udbyderen og underdatabehandlerne der kan få adgang til data, og fra hvilke lande
Hvad skal du spørge om opbevaring, adgang og hændelser?
| Område | Det bør du få svar på |
|---|---|
| Opbevaring og sletning | Hvor længe beskedindhold og leveringslogs gemmes, om indhold kan udelades eller maskeres, hvordan data slettes ved anmodning og ved aftalens ophør, og hvad der sker med sikkerhedskopier |
| Adgang og logning | Hvem der kan se beskedindhold, om adgangen er rollebaseret, hvordan API-nøgler og brugerkonti beskyttes, og om adgang og ændringer logges |
| Hændelser | Hvor hurtigt du får besked om et sikkerhedsbrud, hvad beskeden indeholder, og hvem du kontakter. Som dataansvarlig skal du som udgangspunkt anmelde et brud, der medfører risiko, til Datatilsynet inden for 72 timer, efter du er blevet bekendt med det |
| Revision og dokumentation | Hvilke revisionserklæringer, certificeringer, resuméer af penetrationstest eller sikkerhedsbeskrivelser udbyderen kan vise, og om du kan få udført eller deltage i kontrol |
Hvordan dokumenterer du vurderingen, også som offentlig kunde?
Gem databehandleraftalen, udbyderens svar, listen over underdatabehandlere og din egen risikovurdering med dato, og gentag vurderingen, når aftalen eller udbyderens opsætning ændrer sig. Send ikke følsomme oplysninger i selve beskedteksten; SMS er ikke ende-til-ende-krypteret, så brug et link eller en kode.
Offentlige myndigheder har ofte yderligere krav fra udbudsmateriale og egne informationssikkerhedspolitikker. Stil spørgsmålene skriftligt, kræv skriftlige svar, og bed om dokumentation for de krav, der er afgørende for jer, fx certificeringer eller krav til placering af data.
Hvordan ZafeConnect passer ind
ZafeConnect er en dansk virksomhed (ZafeConnect ApS) og er underlagt GDPR. Siden om sikkerhed og privatlivspolitikken beskriver, hvad ZafeConnect oplyser; bed om databehandleraftalen. Hosting og placering af data, underdatabehandlere og eventuelle certificeringer er ikke offentliggjort på sitet, så bed om dem skriftligt i en sikkerhedsgennemgang. Om ZafeConnect lever op til dine krav, afgør du ud fra svarene.