Hvilken databehandleraftale dækker jeres brug af ChatGPT, og hvad dækker den ikke?

Den databehandleraftale, der dækker jeres brug af ChatGPT, er den, I har indgået med leverandøren af det produkt, I faktisk bruger. Den dækker, hvad leverandøren må gøre med oplysningerne, når de er modtaget. Den dækker ikke, om oplysningerne overhovedet skulle sendes, og den dækker ikke en medarbejders private konto.

Det er den skelnen, der afgør de fleste sager. Aftalen er en forudsætning, ikke en tilladelse.

Hvad er en databehandleraftale, og hvornår skal I have en?

I skal have en, når en anden part behandler personoplysninger for jer efter jeres instruks. Datatilsynet sætter grænsen sådan: det afgørende er, om behandlingen foretages af en anden part, mens I som dataansvarlige fortsat bestemmer over formålet og over de væsentligste behandlingsskridt, herunder indsamling, sletning, videregivelse og brug af eventuelle underdatabehandlere.

Vejledningen lister også de udsagn, I kan veje mod hinanden, når svaret ikke er oplagt. At oplysningerne kun behandles til jeres formål, at den anden part alene behandler på jeres vegne, og at I kan kræve oplysningerne slettet eller tilbageleveret, når I ikke længere ønsker, at parten behandler dem.

Kravet til aftalen er kontant: der skal være tale om en kontrakt eller et andet retligt dokument, som er bindende for databehandleren, og det er desuden et krav, at aftalen er skriftlig, herunder elektronisk.

Er der ikke tale om en databehandlerkonstruktion, men om videregivelse til en anden selvstændig dataansvarlig, gælder noget andet. Så skal I sikre jer, at I har lov til at videregive oplysningerne, og at modtageren har lov til at modtage dem.

Hvad skal en databehandleraftale indeholde efter artikel 28?

Forordningen stiller specifikke krav til indholdet. Aftalen skal blandt andet oplyse om genstanden for og varigheden af behandlingen samt dens karakter og formål. Den skal også angive typen af personoplysninger, kategorierne af registrerede og jeres forpligtelser og rettigheder som dataansvarlig, samt de pligter, databehandleren har.

De enkelte pligter står i artikel 28, stk. 3, litra a til h. I praksis er det dem, I skal kunne genkende i leverandørens dokument, også når det hedder noget andet på engelsk. Et data processing agreement, et Data Protection Addendum og et Cloud Data Processing Addendum er forskellige navne for den samme konstruktion.

Hvilken databehandleraftale gælder for ChatGPT, Copilot, Gemini og Claude?

Tabellen viser også, hvorfor det er værd at læse selv. De fire aftaler bruger forskellige ord om de samme ting, og et par af de vigtigste oplysninger, for eksempel sletningsfrister, står i bilag og ikke i hovedteksten.

Hvad dækker aftalen ikke?

Fire ting falder uden for, uanset hvor god aftalen er:

• Om I måtte sende oplysningen. Aftalen regulerer modtageren. Behandlingsgrundlaget er jeres.
• En privat konto. Er medarbejderen part i aftalen med leverandøren, er I det ikke.
• Indholdet af beskeden. Ingen aftale forhindrer, at en hel personsag bliver indsat i feltet.
• Underdatabehandlere, I ikke har set. Listen ændrer sig, og ændringen kommer som en underretning, ikke som en ny forhandling.

Google beskriver selv, hvad aftalen derimod giver jer af kontrolmuligheder: certificering efter ISO 27001, SOC 2- og SOC 3-rapporter opdateret årligt, og ret til at få en revisor til at føre tilsyn, hvor Google kan opkræve et gebyr for arbejdet. Det er den type bestemmelser, jeres tilsyn med databehandleren skal bygge på.

Dansk skabelon eller EU-Kommissionens standardkontraktbestemmelser?

Datatilsynet udgav i februar 2018 en skabelon, som i december 2019 fik status som standardkontraktbestemmelser efter artikel 28, stk. 8. Konsekvensen er praktisk: tilsynet vil ikke efterprøve det allerede fastlagte indhold, hvis I bruger skabelonen. Det er ikke et krav at bruge den, men I skal under alle omstændigheder indgå en aftale, der overholder mindstekravene.

EU-Kommissionen offentliggjorde i juni 2021 sine egne standardkontraktbestemmelser efter artikel 28, stk. 7. Tilsynet peger på, at de kan være mere praktiske, hvis I opererer i flere europæiske lande, og at EU's standardkontraktbestemmelser for tredjelande kan dække både overførsels- og databehandlerkrav på én gang.

I forhold til de store AI-leverandører bliver valget sjældent jeres. Deres aftale er standard og ligger fast. Til gengæld kan I læse den mod de samme mindstekrav.

Underdatabehandlere og overførsel ud af EU

Databehandleren må ikke bruge en underdatabehandler uden jeres forudgående specifikke eller generelle skriftlige godkendelse. Ved en generel godkendelse skal I underrettes om planlagte ændringer, så I kan gøre indsigelse, og databehandleren forbliver fuldt ansvarlig for underdatabehandlerens forpligtelser.

Det er ikke teoretisk hos AI-værktøjer. Microsoft oplyser, at modeller leveret af Anthropic som underdatabehandler i dag er undtaget fra EU Data Boundary. En organisation, der har valgt Copilot netop på grund af EU Data Boundary, bør derfor vide, hvilke modeller der er slået til.

Sæt en fast rutine: én person læser underretninger om underdatabehandlere, opdaterer fortegnelsen og siger til, hvis noget flytter sig. Det tager en halv time om måneden og er det, der adskiller en aftale, der virker, fra en, der ligger i et skab. Se også GDPR og ChatGPT, Copilot, Gemini og Claude.

Se også: hvad Copilot er, og hvilke data den kan se og databehandleraftalen på dokumentationssiden.