Ja, du kan selv udforme en databehandleraftale. GDPR foreskriver ikke et obligatorisk format: der er ingen officiel skabelon, som du skal bruge, kun en række emner, som aftalen skal regulere. For et simpelt forhold med én klart defineret tjeneste, uden underbehandlere og uden data, der overføres uden for EU, er selvfremstilling ofte en håndterbar opgave på en eftermiddag.
Spørgsmålet er ikke så meget, om det må være sådan, men om situationen er simpel nok til at gøre det korrekt uden hjælp. Så snart der er flere parter i kæden, behandles følsomme data, eller den anden part sender sit eget udkast til aftale, der afviger fra det, du har brug for, bliver selvfremstilling sværere at overskue. Så er juridisk rådgivning, eller i det mindste en struktureret gennemgang, mere fornuftig end at udfylde en skabelon og håbe på, at det er korrekt.
Hvad der skal være med i alle tilfælde
Uanset hvem der udfører aftalen, regulerer en databehandleraftale et fast sæt emner. Heri er angivet, hvad behandlingens genstand og varighed er, hvilke kategorier af personoplysninger og interessenter det drejer sig om, og hvad behandlingens formål er. Desuden fastlægger aftalen, at databehandleren kun handler på instruktion fra den dataansvarlige, at databehandlerens medarbejdere er forpligtet til at behandle oplysninger fortroligt, hvilke sikkerhedsforanstaltninger der gælder, hvordan underbehandlere inddrages og meddeles, hvordan databehandleren bistår med forespørgsler fra interessenter og med databeskyttelsesanmeldelser, og hvad der sker med oplysningerne efter aftalens ophør. Disse dele optræder ordret i forordningen selv; den, der ikke finder dem i et udkast, mangler noget, der skal være der.
Hvornår selvfremstilling er praktisk mulig
Selvfremstilling fungerer godt, når forholdet er overskueligt: du er selv den dataansvarlige, du inddrager én leverandør til én afgrænset tjeneste, der er ingen kendte underbehandlere uden for EU, og oplysningerne er ikke særligt følsomme. Tænk på en bogholderipakke, et e-mailværktøj eller et planlægningssystem, hvor leverandøren allerede tilbyder en standardudgave. I så fald er dit arbejde hovedsagelig at kontrollere, om standardteksten dækker de faste emner, og om de indgåede aftaler stemmer overens med, hvad værktøjet faktisk gør. Den, der ønsker dette overblik over de værktøjer, der bruges dagligt, finder i vidensbasen med de faste emner pr. situation en struktur at lægge op mod.
Hvornår det er mere fornuftigt at outsource
Grænsen flyttes, så snart kæden bliver mere kompleks: flere underbehandlere, dataoverførsler til lande uden for EU, behandling af sundhedsoplysninger, biometriske data eller oplysninger om mindreårige, eller en modpart, der sender sit eget udkast, som afviger fra det, du forventede. I disse tilfælde er risikoen ikke, at du ikke har en aftale, men at du underskriver eller udfører en, der ikke dækker, hvad der virkelig sker. En jurist eller specialiseret rådgiver kan derefter vurdere, om aftalerne passer til den faktiske datastrøm, hvilket en skabelon ikke gør for dig.
At bruge en skabelon er noget helt tredje end at udforme en aftale selv
Der er forskel på at bruge en skabelon som udgangspunkt og at skrive en aftale helt selv. En skabelon tvinger dig til at gennemgå de faste emner, men udfylder dem ikke automatisk korrekt for din situation. Omvendt gælder det samme for en aftale, som en kunde eller leverandør sender dig: den kan se komplet ud og stadig mangle en del, eller indeholde en aftale, der ikke stemmer overens med, hvad der virkelig sker i praksis. Svar på almindelige spørgsmål herom, såsom hvad en kunde med rette kan kræve og hvad ikke, er samlet i de hyppigt stillede spørgsmål om databehandleraftaler.
Hvad gdpria.eu gør deri
Kontrol af en databehandleraftale, som nogen sender dig, og opslag af faste elementer i videnbanken er gratis og uden konto. Systemet omkring det — dokumentsættet med skabeloner, overvågning af løbende aftaler og de tidsfrister, der er knyttet til dem — indgår i abonnementet. Hvad der indgår, er klart angivet i oversigten over abonnementsvarianter. Vi giver vejledning og struktur, ikke juridisk rådgivning: du selv bestemmer, om du selv udarbejder, bruger en skabelon, eller indhenter juridisk bistand.
Vil du først se, hvordan det ser ud i praksis, før du opretter noget? Gennemse emnerne i videnbanken, eller opret en erhvervskonto for at indstille registret og overvågningen for dine egne databehandleraftaler.