hvad sker der, hvis jeg ikke har en databehandleraftale med min leverandør

Uden databehandlerafale opfylder du ikke artikel 28 i GDPR

Hvis en leverandør behandler personoplysninger på dine vegne, og der er ingen databehandlerafale, er det i sig selv allerede en overtrædelse af GDPR — uafhængigt af spørgsmålet om der ellers går noget galt med disse oplysninger. Artikel 28 i GDPR foreskriver, at indsættelse af en databehandler dokumenteres i en aftale eller anden retlig handling; uden denne dokumentation mangler det lovmæssige grundlag for samarbejdet, selv hvis leverandøren selv håndterer oplysningerne omhyggeligt.

Det gælder for eksempel for software, hvor kundedata, medarbejderdata eller fakturaoplysninger behandles: bogføringsprogrammer, mailingsystemer, hostingudbydere. Den, der er usikker på, om et bestemt værktøj er omfattet af denne forpligtelse, kan kontrollere det via hvordan ved jeg, om den software, jeg bruger, overholder GDPR at fastslå; og spørgsmålet om dette også gælder en revisor gennemgås under skal jeg indgå en databehandleraftale med min revisor. Manglen på en aftale er normalt ikke noget, der afdækkes af sig selv, før der opstår et dataleak, en klage fra en kunde eller en tilsyn — og så viser det sig, at aftalerne ikke er på plads.

Som det fremgår af artikel 28 i GDPR

Artikel 28 i GDPR bestemmer, at behandling foretaget af en databehandler reguleres af en aftale, der skal indeholde et antal obligatoriske emner, såsom formålet med behandlingen, varigheden og databehandlerens forpligtelser; hvilke emner det helt præcist er, er beskrevet under hvad skal være indeholdt i en databehandlerafale. Forpligtelsen til at have denne aftale påhviler både den ansvarlige for behandlingen og databehandleren, og gælder i hele EU direkte fra forordningen; hvem der skal føre tilsyn med overholdelsen varierer fra land til land — i Danmark er det Datatilsynet, i andre medlemsstater det pågældende lands tilsynsmyndighed. Mere om tilsynsmyndigheden kan findes via Datatilsynet.