kan ett databehandlaravtal också avtalas muntligt eller via e-post

Muntligt eller per e-post räcker inte

Nej, ett muntligt avtal eller ett löst e-postutbyte räcker inte som databehandlaravtal. Artikel 28 i GDPR föreskriver att överenskommelser mellan en registeransvarig och en databehandlare måste fastställas i ett avtal eller annan rättshandling som är skriftlig, och denna skriftliga form kan även vara elektronisk. Ett telefonlöfte eller ett muntligt avtal under ett samtal faller utanför detta: det är inte fastställt på ett sätt som kan kontrolleras senare.

Ett e-postutbyte ligger någonstans däremellan. Lösa e-postmeddelanden där parter nämner några överenskommelser om databehandling är i sig vanligtvis inte ett fullständigt databehandlaravtal, eftersom GDPR ställer krav på innehållet som normalt inte är helt närvarande i ett sådant e-postutbyte. Ett skriftligt eller elektroniskt dokument som täcker det innehållet helt — och som också har utbytts per e-post och godkänts — kan betraktas som ett databehandlaravtal. Det handlar alltså inte om mediet i sig, utan om huruvida alla obligatoriska komponenter finns med och om det är fastslaget att båda parter samtycker till detta. Vad som exakt måste finnas där beskrivs på vad måste finnas i ett databehandlaravtal.

Som följer från artikel 28 GDPR

Artikel 28, punkt 3 i GDPR föreskriver att databehandlingen av en databehandlare regleras genom ett avtal eller annan rättshandling som är bindande för parterna, och att denna måste fastställas skriftligt, inklusive i elektronisk form. Detta krav gäller på samma sätt överallt i EU, eftersom GDPR är en förordning som tillämpas direkt; det finns inget utrymme för en avvikande nationell tolkning på denna punkt. Den som är osäker på om ett befintligt avtal med en leverantör uppfyller detta krav kan kontrollera detta via kontrollen av eller om den använda programvaran uppfyller GDPR; för bakgrund om konsekvenserna av att ett sådant avtal saknas finns sidan om vad som händer utan databehandlaravtal med en leverantör. För den officiella texten i artikeln själv är källa GDPR på EUR-Lex, och för vägledning från den nederländska tillsynsmyndigheten är Autoriteit Persoonsgegevens den relevanta källan.