Hvad skal en databehandleraftale indeholde?

Hvad en databehandleraftale i hvert fald regulerer

En databehandleraftale bør beskrive, hvad databehandleren udfører for den ansvarlige på vejen med personoplysninger, og under hvilke betingelser. Det starter med grundlaget: emnet og varigheden af behandlingen, karakteren og formålet herved, typen af personoplysninger, der er tale om, og de kategorier af registrerede, som det drejer sig om. Uden denne beskrivelse er det ikke muligt at fastslå, om en leverandør overholder aftalerne.

Desuden skal der være en række forpligtelser, der direkte stammer fra GDPR. Databehandleren behandler oplysninger udelukkende på grundlag af skriftlige instruktioner fra den ansvarlige, sikrer, at personer, der behandler oplysningerne, er forpligtet til fortrolighed, og træffer passende sikkerhedsforanstaltninger. Det skal også være reguleret, hvad der sker, hvis databehandleren inddrager en anden part (en underdatabehandler), hvordan databehandleren hjælper med anmodninger fra registrerede og med indberetning af databrud, og hvad der sker med oplysningerne, når serviceydelsen ophører — ødelægges eller returneres. Det fremgår ofte også, at den ansvarlige må kontrollere, om aftalerne bliver overholdt, for eksempel gennem en revision.

Hvor dette følger fra: artikel 28 i GDPR

Denne oversigt følger direkte af artikel 28 i GDPR, som specifikt beskriver, hvad en databehandleraftale skal indeholde, når en ansvarlig inddrager en databehandler. Retningslinjerne fra EDPB giver yderligere vejledning om, hvordan disse bestemmelser kan implementeres i praksis, for eksempel ved vurdering af sikkerhedsforanstaltninger eller inddragelse af underdatabehandlere. For den præcise formulering af hver forpligtelse forbliver teksten i artikel 28 selv udgangspunktet.