kan jag ändra ett databehandlaravtal som redan är undertecknat

Ja, det är möjligt att ändra så länge båda parterna är överens

Ett undertecknat databehandlaravtal är inte ett dokument som blir låst efter undertecknandet för att gälla under hela samarbetet. Precis som för varje annat kontrakt gäller att parterna gemensamt kan besluta att justera något: lägga till en ny underbehandlare, ändra en bevarandeperiod eller skärpa avtalet därför att något i samarbetet har förändrats. Så länge båda parterna är överens om justeringen står ingenting i vägen för att se över avtalet på nytt.

Det som räknas är att avtalet fortsätter att uppfylla vad artikel 28 i GDPR kräver. Om det sätt på vilket en leverantör behandlar data förändras, om en ny part kommer in som underbehandlare, eller om syftet med behandlingen ändras, är det ofta precis då när vad som måste finnas i ett databehandlaravtal blir aktuellt igen: den befintliga texten kanske inte längre täcker den nya situationen. En ändring kan dokumenteras med ett tillägg, en ny bilaga eller genom att underteckna hela avtalet på nytt — formen är mindre viktig än att båda parterna skriftligen dokumenterar vad som har avtalats.

Vad detta baseras på: artikel 28 GDPR

Artikel 28 i GDPR föreskriver vilka ämnen som måste finnas med i ett databehandlaravtal, men fastslår ingenstans att en redan undertecknad text inte får ändras. EDPB:s riktlinjer betonar framför allt att innehållet i avtalet måste hålla jämn takt med behandlingen i praktiken — ändras den praktiken är det logiskt att avtalet förändras tillsammans med den. Ett avtal som inte har upprättats överhuvudtaget medför visserligen en annan risk än ett avtal som uppdateras; vilka konsekvenser det kan få beskrivs under vad som händer om det inte finns något databehandlaravtal med en leverantör. Även en ändring som bara har avtalats via e-post väcker samma fråga som för det första avtalet: om det räcker, beskrivs under om ett databehandlaravtal också kan avtalas muntligt eller via e-post.