Personopplysninger i kundekontrakter: hvem skal gjøre hva?

Kort svar

Kundekontrakter bør være tydelige på hvem som gjør hva når personopplysninger inngår i leveransen. Ellers blir ansvar og forventninger lett uklare når noe skjer.

Før dere signerer eller begynner å levere, bør dere ha kontroll på hvilke behandlingsaktiviteter kontrakten faktisk omfatter, hvordan ansvaret er fordelt mellom partene i praksis og hvordan sikkerhet, avvik og avslutning håndteres i avtalen.

Når dette blir aktuelt

• når leveransen innebærer kundedata, brukerdata eller ansattdata
• når databehandleravtale og hovedavtale er skrevet i ulike spor
• når kunde og leverandør trenger tydelig operativ rollefordeling

Det bedriften bør avklare først

Slik bør dere gå fram

1. Beskriv hvilke personopplysninger leveransen faktisk berører og hvorfor.
2. Avklar hvordan rollefordelingen skal se ut i hovedavtale og eventuelle bilag.
3. Reguler tydelig hvordan endringer, sikkerhetshendelser og underleverandører håndteres.
4. Sjekk at kontrakten støtter den faktiske leveransemodellen og ikke bare standardtekster.

Dokumenter og spor som bør være på plass

De fleste kontraktstvister starter fordi leveranse, ansvar eller endringer ikke ble gjort tydelige nok i forkant.

• hovedavtale og eventuelt personvernbilag eller databehandleravtale
• beskrivelse av behandlingsaktiviteter og systemflyt
• sikkerhetskrav, varslingsrutiner og underleverandøroversikt
• plan for datahåndtering ved opphør eller leverandørbytte

Typiske feil

• personverndelene blir et vedlegg ingen leser sammen med hovedavtalen
• rollefordelingen er for generell til å fungere operativt
• avslutning og datatilbakelevering blir ikke regulert tydelig nok

Når bør dere få konkret hjelp?

Når leveransen er datatung eller sikkerhetskritisk, bør ansvarsdelingen kvalitetssikres før signering og oppstart.

Slik bruker dere guiden i praksis

For en bedrift er ikke målet å lese seg opp på personopplysninger i kundekontrakter i seg selv. Målet er å avklare hva som må besluttes, hvem som eier oppfølgingen, og hvilke dokumenter som bør tåle en senere kontroll, tvist eller intern gjennomgang.

Bruk derfor guiden som en arbeidsliste: start med partene, leveransen, prisen, risikoen og exit, og fordel deretter oppgavene mellom kommersiell ansvarlig, økonomi og den som eier leveransen. Da blir vurderingen mer konkret enn en generell regelavklaring, og dere reduserer risikoen for uklar leveranse, svake ansvarsgrenser og dyre diskusjoner ved endring eller opphør.

Spørsmål som gir bedre avklaring

• Hvem er avtalepartene, og hvem kan faktisk forplikte dem?
• Hva skal leveres, når skal det leveres, og hvordan skal endringer bestilles?
• Hvilke punkter kan gi størst økonomisk tap hvis de er uklare?
• Hva må være regulert om data, rettigheter, underleverandører eller konfidensialitet?
• Hvordan kan avtalen avsluttes ryddig hvis samarbeidet ikke fungerer?

Et godt beslutningsgrunnlag bør vise

Denne typen oversikt gjør det enklere å prioritere riktig nivå på arbeidet. Den hjelper også bedriften å skille mellom det som kan løses med bedre intern rutine, det som bør avklares med motpart eller leverandør, og det som bør vurderes før dere tar neste formelle steg.

Relaterte guider

• Eksklusivitet i samarbeidsavtaler: når bør det avtales?
• Exit og overlevering ved opphør av IT-avtaler: hva bør med?
• Muntlige avklaringer i prosjekter: hvordan bekrefte dem skriftlig?

Offentlige kilder og videre lesning

• Datatilsynet om databehandleravtale
• Datatilsynet om behandlingsansvarlig og databehandler
• Datatilsynet om informasjon og åpenhet

Et naturlig neste tema etter Personopplysninger i kundekontrakter: hvem skal gjøre hva? er Fastpris eller timepris: hva bør kontrakten speile? , med flere praktiske kontrollpunkter.