Bilagene lagres i EØS: hvem får dem videre?

Regnskapsleverandøren oppgir at hovedlagringen skjer i EØS. Økonomiteamet antar derfor at hele behandlingskjeden er avklart. Men dokumentlesing, støtte og meldingsutsending kan ha andre mottakere og datatyper. Lagringsstedet til hovedsystemet beskriver ikke alene hvem som får bilagsopplysningene videre.

Denne guiden gjelder en finanskjøpers faktainnsamling før dokumenter deles. Den gir ingen generell lovlighetsgodkjenning eller teknisk sertifisering av en leverandør. Personvernroller, behandlingsgrunnlag, avtaler og eventuell tredjelandsoverføring må vurderes på det konkrete forholdet.

Spør etter faktisk behandling, ikke bare en serveradresse

Begynn med hvilke opplysninger økonomiprosessen trenger. En faktura kan inneholde kontaktperson, adresse og kontoinformasjon i tillegg til beløp. Lønnsdokumenter kan ha et annet og mer omfattende personinnhold. De skal ikke automatisk få samme delingsomfang fordi begge kalles bilag.

Datatilsynets veiledning om databehandleravtalens innhold gir relevante avtalepunkter. Bruk dem til å knytte leverandørens beskrivelse til den faktiske økonomioppgaven.

Et firmanavn på en underdatabehandlerliste er nyttig, men ikke hele forklaringen. Finn hva aktøren gjør, hvilke data som blir tilgjengelige, hvor behandlingen skjer og hvilken instruks eller avtale som gjelder. En dokumentleser og en leverandør av bekreftelsesmeldinger kan ha helt forskjellige databehov.

Syntetisk kjede med tre mottakere

Anta 100 kjøpsbilag i en avtalt arbeidsprosess. Hovedleverandøren behandler alle. En ekstern dokumentleser får 40 utvalgte bilag. En meldingsleverandør får bare adresser og nødvendige meldingsopplysninger, uten bilagsvedlegg. Dette er en oppdiktet modell, ikke en beskrivelse av et bestemt regnskapssystem.

De 100 og 40 er ikke 140 forskjellige bilag. De 40 er en del av de opprinnelige 100 som går gjennom et ekstra behandlingsledd. En oversikt som bare teller unike bilag, vil dermed kunne overse at noen har en videre mottaker.

Samtidig er null bilagsvedlegg ikke det samme som null personopplysninger hos meldingsleverandøren. Adressen og meldingsinnholdet må beskrives på sitt eget grunnlag. Det er en grunn til å kartlegge datatyper, ikke bare filantall.

Avklar når tilgjengeliggjøring er en overføring

Datatilsynet om overføring ut av EØS forklarer at kapittel V kommer i tillegg til de øvrige personvernpliktene. Vurderingen gjelder faktisk tilgjengeliggjøring til relevante mottakere, ikke bare hvor hovedserveren står.

Det er viktig å skille juridiske enheter. En ansatt i samme virksomhet som får tilgang under en reise, er ikke nødvendigvis samme overføringssituasjon som en annen databehandler eller et eget konsernselskap i et tredjeland. Andre plikter og sikkerhetsspørsmål kan fortsatt være relevante.

Guiden tilbyr ingen liste over land som alltid er trygge eller alltid ulovlige. Finn faktisk mottaker, rolle og relevant grunnlag. En EØS-adresse hos avtaleparten avgjør ikke alene alle senere mottaker- eller tilgangsforhold.

Minimal deling må følge den konkrete oppgaven

Spør hvorfor de 40 bilagene skal til dokumentleseren, og om hele innholdet er nødvendig. Et generelt behov for automatisering er ikke en presis beskrivelse av hvilke felt eller vedlegg aktøren trenger.

Personopplysninger i regnskapsuttrekk og tilgang til sensitive felt gir beslektede kontroller. En begrenset eksportrett erstatter likevel ikke vurderingen av mottakerkjeden og avtalegrunnlaget.

Unngå at en test eller støttesak får et større datagrunnlag enn den løpende oppgaven. Dokumenter hva som ble delt, formål og relevant tilgang. Hvis en ekte sak krever særskilte opplysninger, må det være en faktisk vurdering, ikke en automatisk vane med å sende hele mappen.

Leverandørens utsagn og uavhengig bevis har ulike roller

En offentlig beskrivelse, en avtale og et faktisk teknisk oppsett kan støtte forskjellige spørsmål. En leverandørs utsagn om lagring eller modellbruk er relevant informasjon, men ikke automatisk uavhengig kontroll av alle senere dataflyter.

Be om avklaring der beskrivelsen er generell eller der økonomiteamets planlagte bruk går lenger. Finn også hvordan nye underdatabehandlere eller endrede behandlingsformål blir kjent. En godkjent avtaleversjon fra tidligere år skal ikke uten kontroll brukes som bevis på uendret kjede.

Kildespor for overleveringen bør vise både den dokumenterte beslutningen og ukjente forhold. Det gir neste ansvarlige et grunnlag som kan oppdateres uten å gjette fra et gammelt grønt merke.

La beslutningen møte den faktiske økonomiprosessen

Rapportgrunnlaget hjelper med å avgrense formålet. Hovedsystem, dokumentlesing og meldinger kan alle være nyttige, men de trenger forklarte roller.

Godkjenn ikke bare en serveradresse. Sørg for at datatyper, formål, aktører, relevant tilgang og vurdert avtalegrunnlag kan forklares samlet. Da kan den ansvarlige ta en konkret beslutning om bilagsdelingen uten å fremstille én EØS-lagring som hele personvernvurderingen.