Måste jag underteckna ett databehandlaravtal som min kund skickar?

Att underteckna är ingen skyldighet, att kontrollera är det

Nej, det finns ingen laglig skyldighet att underteckna ett databehandlaravtal endast för att en kund skickar ett. Ett databehandlaravtal är en överenskommelse mellan två parter, och som med varje avtal gäller: du tittar först på vad det innehåller innan du sätter din namn. Den kund som skickar avtalet bestämmer inte automatiskt innehållet — innehållet måste uppfylla vissa krav, och det är något annat än "måste jag acceptera detta dokument".

Det som är relevant: om du som databehandlare behandlar personuppgifter på uppdrag av den kunden, föreskriver GDPR att det måste finnas ett databehandlaravtal med ett antal obligatoriska delar. Det handlar alltså inte om huruvida du undertecknar, utan om huruvida texten du får täcker dessa delar och överensstämmer med vad som faktiskt händer. Ett koncept som är för brett formulerat, reglerar saker som inte stämmer överens med den faktiska tjänsten, eller saknar delar, är en anledning att anpassa eller föreslå en egen version — inte att underteckna utan vidare.

Vad artikel 28 i GDPR säger om detta

Artikel 28 i GDPR föreskriver att behandlingen av en databehandlare måste regleras i ett avtal eller annan rättshandling, och räknar upp vilka ämnen som måste behandlas — bland annat behandlingens ämne och varaktighet, behandlingens art och syfte, vilken typ av personuppgifter och vilka kategorier av registrerade, och datakontrollantens och databehandlarens skyldigheter och rättigheter. Denna artikel säger inget om vem som upprättar eller skickar dokumentet; den säger bara vad det måste innehålla. För den fullständiga texten är förordningen själv källan, och vid tvivel om en specifik text kan kunskapsbanken från Integritetsskyddsmyndigheten fungera som bakgrund — även om denna myndighet inte bedömer enskilda kontrakt.