vad händer om jag inte har ett databehandlaravtal med min leverantör

Utan databehandlaravtal uppfyller du inte artikel 28 GDPR

Om en leverantör behandlar personuppgifter å dina vägnar och det finns inget databehandlaravtal är det i sig redan en överträdelse av GDPR — oberoende av frågan om något annat går fel med dessa uppgifter. Artikel 28 GDPR föreskriver att användningen av en databehandlare dokumenteras i ett avtal eller annan rättshandling; utan denna dokumentation saknas den juridiska grunden för samarbetet, även om leverantören själv hanterar uppgifterna varsamt.

Det här gäller till exempel programvara där kunduppgifter, personaluppgifter eller fakturauppgifter hamnar: bokföringsprogram, e-postverktyg, värdtjänster. Om du är osäker på om ett visst verktyg omfattas av denna skyldighet kan du kontrollera det via hur vet jag om programvaran jag använder uppfyller GDPR se; och frågan om detta också gäller en revisor återkommer vid måste jag ingå ett databehandlaravtal med min revisor. Avtalets frånvaro är vanligtvis inte något som kommer fram av sig själv, förrän det finns ett dataintrång, ett kundbeslut eller en granskning — och då visar det sig att överenskommelserna saknas.

Som följer från artikel 28 GDPR

Artikel 28 GDPR föreskriver att behandlingen av en databehandlare regleras genom ett avtal som obligatoriskt måste dokumentera ett antal ämnen, såsom behandlingens syfte, varaktighet och databehandlarens förpliktelser; vilka ämnen det exakt är framgår av vad måste finnas i ett databehandlaravtal. Skyldigheten att ha detta avtal vilar på både den personuppgiftsansvarige och databehandlaren och gäller i hela EU direkt från förordningen; vem som ska övervaka efterlevnaden skiljer sig dock per land — i Sverige är det Datainspektionen, i andra medlemsstater den övervakande myndigheten i det landet. Mer om tillsynsmyndigheten finns tillgängligt via Datainspektionen.