Tvister mellem dataansvarlig og databehandler

En virksomhed, der lader en leverandør behandle personoplysninger, er dataansvarlig. Leverandøren er databehandler. Så længe samarbejdet fungerer, er rollerne formalia i en databehandleraftale. Når noget går galt, bliver de til et spørgsmål om, hvem der skal betale. Det kan være efter et sikkerhedsbrud, efter en bøde, efter erstatningskrav fra registrerede eller ved en uenighed om, hvad leverandøren måtte bruge data til. Denne artikel handler om tvisten mellem de to virksomheder og om, hvilke digitale beviser der typisk afgør den.

Den retlige ramme i korte træk

Efter databeskyttelsesforordningen artikel 82, stk. 2, hæfter en databehandler kun for skade forvoldt af behandling, hvis databehandleren ikke har opfyldt forpligtelser, der er rettet specifikt mod databehandlere, eller har handlet i strid med den dataansvarliges lovlige instrukser. Er flere ansvarlige for samme skade, hæfter de efter stk. 4 solidarisk over for den registrerede. Den, der har betalt fuld erstatning, kan efter stk. 5 kræve den del tilbage, der svarer til de andres del af ansvaret.

Artikel 28, stk. 3, fastsætter, hvad databehandleraftalen navnlig skal indeholde. Det gælder blandt andet, at databehandleren kun må behandle efter dokumenteret instruks (litra a), at databehandleren iværksætter de sikkerhedsforanstaltninger, der kræves efter artikel 32 (litra c), og at databehandleren stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse, og bidrager til revisioner (litra h). Efter artikel 33, stk. 2, underretter databehandleren den dataansvarlige uden unødig forsinkelse efter at være blevet opmærksom på et brud på persondatasikkerheden.

Ved siden af forordningen gælder parternes aftale, typisk med egne ansvarsbegrænsninger.

Fire spørgsmål, der går igen

Tvisterne drejer sig næsten altid om et af disse spørgsmål. Hvert spørgsmål har sine egne beviser.

1. Hvad var instruksen?

Instruksen står i databehandleraftalen og dens bilag, men den kan også være givet løbende i mails, supportsager eller opsætningen af systemet. Spørgsmålet er, hvad der var gældende på det relevante tidspunkt.

Sikr:

alle versioner af databehandleraftalen og bilag, med datoer
korrespondance og supportsager, hvor kunden har bedt om ændringer
systemets konfiguration og ændringslog, fx hvem der slog en funktion til eller fra

Mange tvister viser sig at handle om en indstilling. Hvem havde adgang til at ændre den, og hvem gjorde det? → Sådan læser du en logfil

2. Var sikkerheden tilstrækkelig?

Her er spørgsmålet, om databehandleren havde de foranstaltninger, aftalen og reglerne krævede. Beviserne er typisk tekniske: konfigurationer, opdateringsstatus, adgangsstyring, logning og overvågning på tidspunktet for hændelsen. Revisionserklæringer og tilsynsrapporter fra perioden før hændelsen er også relevante. De viser, hvad leverandøren erklærede, og hvad kunden fik oplyst.

En revisionserklæring dækker en periode og et afgrænset omfang. Den beviser ikke, at alt var i orden på den dag, hændelsen skete. Læs afgrænsningen og eventuelle forbehold. Bed også om resultater af sårbarhedsscanninger og penetrationstest fra perioden, hvis de findes, og om oplysninger om, hvordan fundne svagheder blev fulgt op.

3. Hvornår vidste hvem hvad?

Underretningsfristen gør tidspunkter centrale. Hvornår opdagede databehandleren bruddet? Hvornår blev den dataansvarlige underrettet, og hvordan? Svaret findes i overvågningsalarmer, interne sager hos leverandøren, mails og telefonnotater. Tidsangivelser fra forskellige systemer skal gøres sammenlignelige, før de stilles op mod hinanden. → Tidslinjer som bevis

4. Hvem var involveret?

Mange databehandlere bruger underdatabehandlere, fx en hostingudbyder eller en supportpartner. Efter artikel 28, stk. 2, kræver det forudgående specifik eller generel skriftlig godkendelse fra den dataansvarlige. I tvisten er det relevant, hvilke underdatabehandlere der var godkendt, om kunden blev underrettet om ændringer, og hvor hændelsen faktisk opstod.

Hvem har beviserne

Skævheden er tydelig. Databehandleren har næsten alle tekniske data: logs, konfiguration, hændelsesrapporter og interne sager. Den dataansvarlige har aftalen, sin egen korrespondance og det, leverandøren har valgt at oplyse.

Retten til oplysninger og revision i artikel 28, stk. 3, litra h, kan give den dataansvarlige en vej til data, før en sag anlægges. Under en sag kan opfordring og edition komme på tale. Begæringen bør være konkret: bestemte logkilder, en bestemt periode og bestemte konti eller systemer. → Editionsbegæring om digitale beviser

Tidsfaktoren er vigtig. Logs hos leverandøren roteres eller slettes efter faste perioder. Den dataansvarlige bør hurtigt bede om, at relevante data bevares, og gemme leverandørens svar.

Opgørelse af tabet

Et regreskrav kræver, at tabet kan dokumenteres. For den dataansvarlige er det typisk udgifter til håndtering af hændelsen, underretning af registrerede, ekstern teknisk bistand, erstatning betalt til registrerede og tid brugt internt. Hver post bør kunne føres tilbage til fakturaer, tidsregistrering eller korrespondance. Det er også relevant at kunne adskille omkostninger, der skyldes hændelsen, fra forbedringer, som virksomheden alligevel ville have gennemført. Modparten vil typisk hævde, at en del af udgifterne er opgraderinger. Et klart skel mellem genopretning og forbedring gør opgørelsen sværere at angribe. → Tabsopgørelse efter datatyveri

Når samarbejdet ophører midt i tvisten

Ofte vil den dataansvarlige skifte leverandør efter en alvorlig hændelse. Så kolliderer to hensyn: kravet om sletning ved ophør og behovet for at bevare data til tvisten. Det bør aftales udtrykkeligt, hvilke data der bevares, af hvem og hvor længe, før sletning sker. → Exit-bistand og dataudlevering

Når klienten er databehandleren

For leverandøren handler forsvaret om at kunne vise, at der blev handlet efter instruks, og at sikkerheden svarede til aftalen. Det kræver, at leverandøren kan dokumentere kundens egne valg: hvilke funktioner kunden selv slog fra, hvilke anbefalinger kunden ikke fulgte, og hvilke brugere hos kunden der havde administratoradgang. Den slags dokumentation skal være sikret, før den bearbejdes til et notat. Databehandlerens rolle over for tilsynet er beskrevet særskilt. → Sager hos Datatilsynet

Hvad en IT-sagkyndig konkret kan undersøge

I en tvist mellem dataansvarlig og databehandler kan en sagkyndig typisk:

gennemgå konfiguration og ændringslog og fastslå, hvem der ændrede en bestemt indstilling, og hvornår
opstille en samlet tidslinje fra første tegn på hændelsen til underretningen af den dataansvarlige
sammenholde de foranstaltninger, der faktisk var på plads, med dem, der er beskrevet i aftalens bilag og i revisionserklæringer
afgrænse, hvilke systemer og hvilke datakategorier hændelsen ramte
vurdere, om leverandørens logs er fuldstændige for perioden, eller om der er huller

Der er også ting, som en sagkyndig ikke kan konkludere. Om en sikkerhedsforanstaltning var passende, er i sidste ende en retlig vurdering, som den tekniske beskrivelse kun understøtter. Hvis logs er roteret eller aldrig blev ført, kan en sagkyndig sjældent rekonstruere, hvad der skete, men kun beskrive hullet. Og hvor flere parter har haft administratoradgang, kan det være umuligt at henføre en handling til en bestemt person, hvis kontoen var delt.