En databehandleraftale er den skriftlige kontrakt, hvor en dataansvarlig fastsætter vilkårene for, hvordan en databehandler håndterer personoplysninger på sine vegne. GDPR gør denne kontrakt obligatorisk, så snart du outsourcer behandlingen, og foreskriver de emner, den skal dække.
Lovgrundlag
Forpligtelsen er fastsat i artikel 28(3) i den generelle forordning om databeskyttelse. Aftalen skal beskrive genstanden, varigheden, arten og formålet med behandlingen samt identificere typerne af personoplysninger og kategorierne af registrerede. Den skal også indeholde otte specifikke forpligtelser: behandling udelukkende efter dokumenterede instruktioner, fortrolighed, sikkerhed i henhold til artikel 32 i GDPR, betingelser for at engagere underdatabehandlere, bistand med anmodninger fra registrerede, bistand med brud på databeskyttelse og konsekvensanalyser, returnering eller sletning efter ophør og stille oplysninger til rådighed for revisioner. Artikel 28(1) tilføjer, at du kun må bruge databehandlere, der tilbyder tilstrækkelige garantier.
Sådan fungerer det i praksis
Næsten alle outsourcingaftaler er omfattet: løn, hosting, din CRM-leverandør, virksomheden der makulerer dine arkiver. De fleste leverandører bruger deres egen skabelon, der er vedhæftet som et skema til hovedkontrakten. Denne skabelon kan forhandles, selv når den præsenteres som fast. Vær særlig opmærksom på den tidsplan, der beskriver behandlingsaktiviteterne: den skal afspejle, hvad der rent faktisk sker, ikke en generisk beskrivelse, der passer til alle kunder. Overførsler uden for Det Europæiske Økonomiske Samarbejdsområde kræver et yderligere grundlag, normalt Europa-Kommissionens standardkontraktbestemmelser.
Hvor det går galt
Tre fejl opstår igen. Den første er at underskrive en databehandleraftale med en part, der faktisk ikke er databehandler, men selv fastlægger formål og midler; det gør den til en fælles dataansvarlig med andre regler. Den anden er generel autorisation af underdatabehandlere, hvilket betyder, at du mister overblikket over, hvor dine data fysisk befinder sig. Den tredje er en sikkerhedsplan, der kun refererer til "passende foranstaltninger" uden at nævne en enkelt konkret standard, som ikke giver noget at holde fast i, når en hændelse indtræffer.
Relaterede termer
Behandleraftalen er tæt knyttet til bruddet på persondatasikkerheden , da den bør fastsætte den frist, inden for hvilken databehandleren skal underrette dig, og til konsekvensanalysen vedrørende databeskyttelse , som databehandleren skal levere oplysninger om. Den interagerer også med generelle vilkår og betingelser , fordi den ofte er i konflikt med ansvarsloftet i hovedkontrakten.
Yderligere læsning
Mere om dette emne: Databehandleraftalen (verwerkersovereenkomst) i henhold til GDPR: en hollandsk praksisvejledning.
Ønsker du at få dine databehandleraftaler gennemgået? Vores IT-advokater vurderer dem og forhandler, hvor det er nødvendigt.
