Skal jeg skrive under på en databehandleraftale, som min kunde sender?

At signere er ikke en pligt, men at kontrollere er det

Nej, der er ingen lovpligtig forpligtigelse til at underskrive en databehandleraftale blot fordi en kunde leverer den. En databehandleraftale er en aftale mellem to parter, og som med enhver aftale gælder: du ser først på, hvad der står i den, før du sætter din underskrift. Den kunde, der sender aftalen, bestemmer ikke automatisk indholdet — indholdet skal opfylde bestemte krav, og det er noget helt tredje end "skal jeg acceptere dette dokument".

Det, der dog er relevant: hvis du som databehandler behandler personoplysninger på vegne af den kunde, så foreskriver GDPR, at der skal være en databehandleraftale med et antal obligatoriske elementer. Det handler derfor ikke om, hvorvidt du underskriver, men om hvorvidt den tekst, du modtager, dækker disse elementer og stemmer overens med, hvad der sker i praksis. Et koncept, der er formuleret for bredt, noget der regulerer forhold, der ikke stemmer med den faktiske serviceydelse, eller som mangler elementer, er grund til at foretage ændringer eller foreslå din egen version — ikke til blot at underskrive uden videre.

Hvad artikel 28 i GDPR regulerer herom

Artikel 28 i GDPR bestemmer, at behandlingen af personoplysninger af en databehandler skal reguleres ved en aftale eller anden juridisk handling, og opregner, hvilke emner der skal behandles heri — blandt andet behandlingens formål og varighed, arten og formålet, arten af personoplysninger og kategorierne af registrerede, og den dataansvarlige og databehandlerens forpligtelser og rettigheder. Denne artikel siger intet om hvem der udarbejer eller indsender dokumentet; den siger kun, hvad der skal stå i det. For den fulde tekst er selve forordningen kilden, og hvis du er usikker på en konkret tekst, kan vidensbasen for Datatilsynet fungere som baggrund — selvom denne institution ikke forholder sig til vurdering af individuelle kontrakter.