Ja, du kan själv upprätta ett databehandlaravtal. GDPR föreskriver inget obligatoriskt format: det finns ingen officiell mall som du måste använda, bara en serie ämnen som avtalet måste reglera. För en enkel relation med en tydligt definierad tjänst, utan underbehandlare och utan data som överförs utanför EU, är det ofta genomförbart att själv upprätta avtalet på en eftermiddag.
Frågan är inte så mycket om det är tillåtet, utan om situationen är tillräckligt enkel för att göra det rätt utan hjälp. Så snart det finns flera parter i kedjan, känslig data behandlas, eller motparten skickar sitt eget avtalsutkast som avviker från vad du behöver, blir det svårare att själv upprätta avtalet. Då är juridisk rådgivning, eller åtminstone en strukturerad granskning, klokare än att fylla i en mall och hoppas att det stämmer.
Vad som måste ingå
Oavsett vem som upprättar avtalet reglerar ett databehandlaravtal en fast uppsättning ämnen. Där framgår vad behandlingen avser och hur länge den pågår, vilka kategorier av personuppgifter och registrerade det gäller, och vad syftet med behandlingen är. Dessutom slår avtalet fast att behandlaren endast arbetar på uppdrag av den personuppgiftsansvarige, att behandlarens anställda är bundna av sekretess, vilka säkerhetsmått som gäller, hur underbehandlare engageras och anmäls, hur behandlaren medverkar vid registrerades begäranden och vid anmälan av personuppgiftsincidenter, och vad som händer med uppgifterna när avtalet upphör. Dessa delar finns bokstavligen i själva förordningen; om någon saknas i ett utkast, saknas något som ska vara där.
När det är praktiskt att själv upprätta avtalet
Att själv upprätta avtalet fungerar bra när relationen är överblickbar: du är själv den personuppgiftsansvarige, du engagerar en leverantör för en avgränsad tjänst, det finns inga kända underbehandlare utanför EU, och uppgifterna är inte särskilt känsliga. Tänk på ett bokföringsprogram, ett e-postverktyg eller ett planeringssystem där leverantören redan erbjuder en standardversion. I så fall handlar ditt arbete främst om att kontrollera om standardtexten täcker de fasta momenten och om de gjorda överenskommelserna stämmer med vad verktyget faktiskt gör. Om du vill ha denna överblick för de verktyg som används dagligen hittar du i kunskapsbanken med de fasta momenten per situation en struktur att lägga till grund.
När det är klokare att outsourca
Gränsen förskjuts när kedjan blir mer komplex: flera underbehandlare, överföring till länder utanför EU, behandling av hälsouppgifter, biometriska uppgifter eller uppgifter om minderåriga, eller en motpart som levererar sitt eget utkast som avviker från vad du förväntade dig. I dessa fall är risken inte att du saknar ett avtal, utan att du undertecknar eller upprättar ett som inte täcker det som faktiskt sker. En jurist eller specialiserad rådgivare kan då bedöma om överenskommelserna passar den faktiska datahanterings- och överföringsflödet, något som en mall inte gör för dig.
Att använda en mall är något annat än att själv upprätta avtalet
Det är skillnad mellan att använda en mall som utgångspunkt och att helt själv skriva ett avtal. En mall tvingar dig att gå igenom de fasta momenten, men fyller dem inte automatiskt korrekt in för din situation. Omvänt gäller samma för ett avtal som en kund eller leverantör skickar till dig: det kan se fullständigt ut och ändå sakna ett moment, eller innehålla en överenskommelse som inte motsvarar vad som faktiskt sker. Svar på vanliga frågor om detta, till exempel vad en kund rimligen kan kräva och vad den inte kan, samlas i vanliga frågor om databehandlaravtal.
Vad gdpria.eu gör i detta
Att kontrollera ett databehandlaravtal som någon skickar till dig och att slå upp de fasta delarna i kunskapsbanken är gratis och utan konto. Systemet runt omkring — dokumentuppsättningen med mallar, övervakningen av pågående avtal och de tidsfrister som är kopplade till dem — ingår i abonnemanget. Vad som ingår finns tydligt presenterat i översikten över abonnemangformerna. Vi ger vägledning och struktur, men inte juridisk rådgivning: du bestämmer själv om du skapar själv, använder en mall eller anlitar en jurist.
Vill du först se hur det ser ut i praktiken innan du skapar något? Bläddra igenom ämnena i kunskapsbanken, eller skapa ett affärskonto för att konfigurera registret och övervakningen för dina egna databehandlaravtal.