GDPR og kontraktstyring med SCC efter Schrems II

Hvordan persondataforordningen former kontraktkrav i praksis

GDPR bygger på princippet om ansvarlighed – ikke nok med at overholde reglerne, man skal også kunne dokumentere det. Kontrakter spiller her en central rolle, da de viser, hvordan behandlingsgrundlag, formål og sikkerhedsniveau håndteres. En databehandleraftale skal derfor være konkret og beskrive behandlingens karakter, datatyper og varighed, ikke blot indeholde generelle hensigtserklæringer.

Særligt ved databehandleraftaler ifølge artikel 28 er præcision afgørende. Databehandleren må kun handle efter dokumenterede instrukser, og kontrakten skal redegøre for, hvem der har adgang, og hvilke sikkerhedsforanstaltninger der gælder. I praksis samles krav til sikkerhed i et særskilt bilag, som kan opdateres uden at hele aftalen genforhandles. Denne metode kræver dog disciplin omkring versionskontrol og godkendelser.

“En stærk databehandleraftale fungerer som et styringsværktøj, ikke et bilag man glemmer i mappen.”

Derudover skal kontrakten tage stilling til underdatabehandlere, deres godkendelse og bindinger til de samme betingelser som hoveddatabehandleren. Uden klare mekanismer mister den dataansvarlige reelt kontrol. Ligeledes bør aftalen fastlægge, hvordan data slettes eller tilbageleveres, når samarbejdet ophører – et tema, som tilsynsmyndigheder ofte fokuserer på.

For at bevare overblikket over mange aftaler kan ClearContracts Kontraktstyring-modul samle dokumenter og sikre, at de afspejler det faktiske setup. Det skaber transparens og reducerer risikoen for forældede eller ufuldstændige kontrakter.

Overførsel til tredjelande, SCC og Schrems II i kontraktarbejdet

Når personoplysninger forlader EU eller EØS, kræves der et gyldigt overførselsgrundlag. Her bruges ofte de af EU-Kommissionen udstedte standardkontraktklausuler (SCC). Disse klausuler fastlægger rettigheder og forpligtelser mellem eksportør og importør og må ikke ændres på en måde, der svækker beskyttelsen. Derfor skal øvrige kontraktvilkår tilpasses SCC – ikke omvendt.

Efter Schrems II-dommen er det ikke længere nok blot at indsætte SCC i kontrakten. Dataeksportøren skal vurdere, om modtagerlandets lovgivning muliggør overholdelse af klausulerne. Denne vurdering, kaldet Transfer Impact Assessment, bør dokumenteres og knyttes direkte til kontrakten. Hvis der identificeres risici, skal der indføres tekniske, organisatoriske eller kontraktlige supplerende foranstaltninger.

Eksempler på supplerende foranstaltninger: stærk kryptering, begrænset adgang, eller forpligtelser ved myndighedsanmodninger.

Der bør også være mekanismer, der tillader suspension eller ophør af overførslen, hvis SCC ikke kan opretholdes. Dette er ikke blot kontraktuel fleksibilitet, men et GDPR-krav. Organisationer med mange leverandører og komplekse dataflows kan med fordel bruge AI-kontraktgennemgang for at opdage manglende klausuler, risikovurderinger og forældede SCC’er i tide.

Det vigtigste at tage med videre

GDPR kræver ikke kontrakter for kontrakternes skyld, men for at sikre reel kontrol over personoplysninger. De mest centrale pointer er:

• Kontrakter skal afspejle det faktiske behandlingssetup – ikke standardfraser.
• Databehandleraftaler er styringsværktøjer og skal holdes opdaterede.
• Tredjelandsoverførsler kræver mere end blot SCC efter Schrems II.
• Risikovurderinger og supplerende tiltag bør integreres i kontrakten.
• Løbende opfølgning gennem Kontraktstyring og Compliance-styring er nøglen til vedvarende compliance.

Hvis dine aftaler føles uoverskuelige, er det ofte et tegn på manglende struktur. ClearContracts Kontraktstyring samler kontrakter og bilag i ét modul, og AI-agenterne arbejder 24/7 i baggrunden. Du kan booke en uforpligtende demo for at se, hvordan compliance kan automatiseres i praksis.