Udveksler din virksomhed data med samarbejdspartnere, leverandører eller kunder – for eksempel statistik, kundelister eller andre datasæt – er det en god idé at have skriftlige spilleregler for, hvad modtageren egentlig må bruge dataet til. Men her opstår en af de mest almindelige juridiske forvekslinger på området: en almindelig aftale om brugsret til data er noget helt andet end en GDPR-databehandleraftale, og bruger du den forkerte, risikerer du reelt at mangle et lovpligtigt dokument.

Hvad er en aftale om brugsret til data?

En aftale om brugsret til data er en kommerciel aftale mellem to virksomheder, der fastlægger, hvad modtageren må gøre med data, den anden part stiller til rådighed. Det kan for eksempel være markedsdata, statistik, tekniske datasæt eller andet materiale, der ikke i sig selv er personoplysninger. Aftalen regulerer typisk, hvad dataet må bruges til, om brugsretten er tidsbegrænset eller eksklusiv, og hvad modtageren ikke må gøre – for eksempel videresælge dataet til tredjemand.

Hvad er en GDPR-databehandleraftale – og hvorfor er den noget andet?

Indeholder det data, I udveksler, personoplysninger – det vil sige oplysninger, der kan henføres til en identificeret eller identificerbar fysisk person – gælder der en helt anden, lovbestemt ramme. Behandler den ene part personoplysninger på vegne af den anden, er I forpligtet til at indgå en databehandleraftale efter databeskyttelsesforordningens (GDPR) artikel 28. Det er ikke valgfrit, sådan som en almindelig brugsretsaftale er det – det er et lovkrav, og en databehandleraftale skal som minimum regulere en række specifikke punkter, som en almindelig brugsretsaftale slet ikke dækker.

Hvordan afgør du, hvilken aftale du har brug for?

  • Indeholder dataet ingen personoplysninger – for eksempel rene forretningsdata, tekniske specifikationer eller aggregeret statistik uden mulighed for at identificere enkeltpersoner – er en almindelig aftale om brugsret til data tilstrækkelig.
  • Indeholder dataet personoplysninger, og behandler modtageren dem på vegne af den anden part – for eksempel en leverandør, der håndterer kundedata for jer – skal I indgå en databehandleraftale efter GDPR artikel 28, uanset om I også ønsker en almindelig brugsretsaftale ved siden af.
  • Er I i tvivl, er det sikreste udgangspunkt at antage, at databehandleraftalen er nødvendig, og få det bekræftet af en rådgiver – konsekvenserne af at mangle en lovpligtig databehandleraftale er markant større end at have en overflødig brugsretsaftale.

Hvad skal en almindelig aftale om brugsret til data indeholde?

  • Materialet: En præcis beskrivelse af, hvilket data aftalen omfatter.
  • Modtagerens brugsret: Hvad dataet må bruges til, og om brugsretten er eksklusiv, tidsbegrænset, eller begge dele.
  • Begrænsninger: At dataet ikke må videresælges eller videreformidles til tredjemand uden samtykke.
  • Ejerskab: At aftalen kun giver en brugsret – ikke en overdragelse af selve ejendomsretten til dataet.
  • Fortrolighed, varighed og ansvar: Hvad der gælder, hvis samarbejdet ophører, og hvem der bærer risikoen, hvis dataet viser sig at være mangelfuldt.

Hvad skal en GDPR-databehandleraftale indeholde?

Ud over de kommercielle vilkår stiller GDPR artikel 28 en række specifikke minimumskrav til indholdet, herunder at databehandleren kun må behandle personoplysninger efter dokumenteret instruks, at der er pålagt tavshedspligt, at der er implementeret passende sikkerhedsforanstaltninger, at brug af underdatabehandlere kræver godkendelse, og at data slettes eller tilbageleveres ved samarbejdets ophør. Se den fulde gennemgang, og download skabelonen, i vores databehandleraftale (GDPR) under Dokumenter.

Kan I have brug for begge aftaler samtidig i jeres firma?

Ja, det er faktisk ret almindeligt. Udveksler I både almindelige forretningsdata og personoplysninger som led i samme samarbejde, kan det give god mening at indgå en almindelig brugsretsaftale for det generelle data, og supplere med en separat databehandleraftale specifikt for den del, der vedrører personoplysninger. At blande de to sammen i ét dokument risikerer at gøre begge dele uklare – og i værste fald mangelfulde i forhold til GDPR's specifikke krav.

Ofte stillede spørgsmål

Er en aftale om brugsret til data det samme som en GDPR-databehandleraftale?

Nej. En brugsretsaftale regulerer, hvad modtageren må gøre med data i almindelighed. En databehandleraftale er et lovpligtigt dokument efter GDPR artikel 28, der specifikt gælder, når nogen behandler personoplysninger på vegne af en anden.

Hvad sker der, hvis jeg bruger en almindelig brugsretsaftale, hvor jeg reelt skulle have haft en databehandleraftale?

Så mangler I reelt et lovpligtigt dokument, hvilket kan udgøre en selvstændig overtrædelse af GDPR – uafhængigt af, om selve databehandlingen i øvrigt foregår forsvarligt.

Kan jeg downloade begge typer aftaler gratis?

Ja, vi har begge dele som gratis skabeloner under Dokumenter – både en aftale om brugsret til data og en separat databehandleraftale (GDPR).

Er du i tvivl om, hvilken aftale din situation kræver? Book en uforpligtende samtale, eller download skabelonerne direkte under Dokumenter.

96