Vad måste innehållas i ett databehandlaravtal?

Vad ett databehandlaravtal i alla fall reglerar

Ett databehandlaravtal bör beskriva vad databehandlaren gör för den personuppgiftsansvarige med personuppgifter, och under vilka villkor. Det börjar med grunderna: behandlingens föremål och varaktighet, dess karaktär och syfte, vilken typ av personuppgifter som avses, och de kategorier av registrerade vars data det gäller. Utan denna beskrivning går det inte att fastställa om en leverantör följer avtalen.

Därutöver bör ett antal skyldigheter som följer direkt från GDPR inkluderas. Databehandlaren behandlar uppgifter endast på grundval av skriftliga instruktioner från den personuppgiftsansvarige, säkerställer att personer som behandlar uppgifterna är bundna av sekretess, och vidtar lämpliga säkerhetsmåtgärder. Det bör också regleras vad som händer när databehandlaren anlitar en annan part (en underleverantör), hur databehandlaren hjälper till med förfrågningar från registrerade och vid rapportering av dataintrång, och vad som händer med uppgifterna när tjänsten upphör – förstöring eller återlämnande. Ofta finns det också en bestämmelse om att den personuppgiftsansvarige får kontrollera om avtalen följs, till exempel genom revision.

Var detta följer från: artikel 28 i GDPR

Denna sammanfattning följer direkt från artikel 28 i GDPR, som specifikt beskriver vad ett databehandlaravtal måste innehålla när en personuppgiftsansvarig anlitar en databehandlare. EDPB:s riktlinjer ger ytterligare vägledning om hur dessa bestämmelser kan tillämpas i praktiken, till exempel när man bedömer säkerhetsmåtgärder eller anlitar underleverantörer. För den exakta formuleringen av varje skyldighet förblir texten i artikel 28 själv utgångspunkten.