må en databehandleraftale også aftales mundtligt eller via e-mail

Mundtligt eller pr. mail er ikke nok

Nej, en mundtlig aftale eller en løs mailkorrespondance er ikke tilstrækkelig som databehandleraftale. Artikel 28 i GDPR'en foreskriver, at aftaler mellem en dataansvarlig og en databehandler skal være fastlagt i en kontrakt eller anden retshandling, der er skriftlig, og denne skriftlighed kan også være elektronisk. Et telefonisk tilsagn eller en mundtlig aftale under en samtale falder uden for dette: den er ikke dokumenteret på en måde, der senere kan kontrolleres.

En mailkorrespondance ligger et sted imellem. Løse e-mails, hvor parterne nævner nogle aftaler om databehandling, er normalt ikke i sig selv en fuldgyldig databehandleraftale, fordi GDPR'en stiller krav til indholdet, som normalt ikke fuldt ud kommer til udtryk i sådan en mailkorrespondance. Et skriftligt eller elektronisk dokument, der fuldt ud regulerer dette indhold — og som også er blevet udvekslet pr. e-mail og accepteret — kan dog tælle som en databehandleraftale. Det handler således ikke om mediet i sig selv, men om spørgsmålet, om alle obligatoriske dele er medtaget, og om det er fastslået, at begge parter er enige. Hvad der præcist skal være med, er beskrevet på hvad skal være indeholdt i en databehandlerafale.

Som det fremgår af artikel 28 i GDPR

Artikel 28, stk. 3 i GDPR'en bestemmer, at databehandling af en databehandler reguleres ved en kontrakt eller anden retshandling, der er bindende for parterne, og at denne skal være skriftligt dokumenteret, herunder i elektronisk form. Dette krav gælder på samme måde overalt i EU, fordi GDPR'en er en forordning, der virker direkte; der er på dette punkt ikke plads til en afvigende national fortolkning. Den, der er i tvivl om en eksisterende aftale med en leverandør opfylder dette krav, kan kontrollere det via tjekket af eller om den brugte software opfylder GDPR'en; for baggrund om konsekvenserne af fraværet af sådan en kontrakt findes siden om hvad der sker uden en databehandleraftale med en leverandør. For den officielle tekst af artiklen selv finder du det på GDPR'en på EUR-Lex, og for vejledning fra den danske tilsynsmyndighed er Datatilsynet den rette kilde.