Databehandleraftale

Det afgørende er, hvem der bestemmer formål og væsentlige hjælpemidler, og om leverandøren handler på den dataansvarliges vegne. Adgang til data gør ikke alene en leverandør til databehandler. En leverandør kan have forskellige roller for forskellige behandlinger.

Vilkårene skal blandt andet omfatte genstand, varighed, karakter, formål, datatyper og kategorier af registrerede. Beskriv dokumenterede instrukser, fortrolighed, sikkerhed, hjælp til rettigheder og øvrige relevante forpligtelser efter artikel 28.

Vilkårene kan være et identificerbart bilag i en større kontrakt. En almindelig NDA eller et generelt udsagn om at følge GDPR opfylder ikke i sig selv artikel 28.

Der kræves forudgående specifik eller generel skriftlig godkendelse til underdatabehandlere. Ved generel godkendelse skal planlagte ændringer meddeles, så den dataansvarlige kan gøre indsigelse efter den aftalte procedure. Relevante forpligtelser skal føres videre i kæden.

Fastlæg adgang til dokumentation og relevant kontrol. Opfølgning bør afspejle risiko og ændringer; der er ikke én generel regel om, at alle leverandører kræver præcis samme årlige audit.

Aftalen skal understøtte hurtig information og hjælp ved brud på persondatasikkerheden. Fastlæg også sletning eller tilbagelevering efter den dataansvarliges valg, med forbehold for lovlige opbevaringskrav, og håndtér kopier og relevante systemer.

Den dataansvarlige skal blandt andet have lovligt behandlingsgrundlag og give relevante oplysninger. Følsomme oplysninger kræver yderligere betingelser. En overførsel til et tredjeland kræver sin egen vurdering; en databehandleraftale er ikke automatisk et tilstrækkeligt overførselsgrundlag.

Brug en relevant skabelon, men tilpas den til dataflow, lande, formål og sikkerhed. Databeskyttelsesarbejdet kan være vigtigt for kunderne, men en underskrift garanterer hverken sikkerhed, retention eller stigende ARR.