Det vanligaste misstaget när man bedömer ett databehandlaravtal är att företag undertecknar dokumentet utan att kontrollera vem som har vilken roll i den relationen. Ett databehandlaravtal reglerar avtalen mellan en personuppgiftsansvarig, som bestämmer varför och hur uppgifterna behandlas, och en databehandlare, som gör det på uppdrag. Om denna rollfördelning inte kontrolleras, undertecknar du ibland ett dokument som inte alls är tillämpligt på din situation, eller så saknar du ett avtal som faktiskt borde finnas.
Dessutom går det ofta fel på tre andra punkter: databehandlare som inte nämns, säkerhetsmål som endast är beskrivna i allmänna termer, och ingen som helst överenskommelse om vad som händer med uppgifterna när samarbetet upphör. Detta är inte små detaljer utan själva kärnan i vad ett databehandlaravtal är avsett för: att fastslå vem som är ansvarig för vad, så länge samarbetet varar och även därefter.
Att inte kontrollera rollfördelningen
Ett databehandlaravtal utgår från en fast fördelning: den ena parten bestämmer syftet och medlen för behandlingen, den andra utför denna behandling enligt instruktion. I praktiken växlar dessa roller ibland per uppdrag. Ett redovisningskontor är databehandlare för lönefunktionen hos en kund, men personuppgiftsansvarig för sina egna personuppgifter om personal. Den som undertecknar ett avtal utan att fastställa denna roll är osäker på om rätt dokument har undertecknats. Dataskyddsförordningen själv beskriver denna rollfördelning, och EDPB:s riktlinjer behandlar den i detalj.
Databehandlare som inte nämns
Många SaaS-verktyg använder i sin tur andra parter, till exempel för hosting eller kundservice. Ett databehandlaravtal bör nämna om det är tillåtet, under vilka villkor och om du informeras i förväg. Om denna bestämmelse saknas, vet du enkelt sagt inte vilka parter som praktiskt taget har tillgång till de uppgifter du tillhandahåller. Det är exakt denna typ av information som du kan konsultera i kunskapsbanken per ämne innan du undertecknar.
Säkerhet som endast uttrycks i allmänna termer
En mening som "lämpliga tekniska och organisatoriska åtgärder vidtas" säger mycket lite i sig själv. Ett avtal som går längre nämner konkret vad dessa åtgärder innebär: kryptering, åtkomstkontroll, säkerhetskopior, anmälningsförfaranden vid en incident. Ju mer specifikt det är fastlagt, desto klarare är det vad en leverantör faktiskt gör. Som jämförelse: på sidan om hur vi själva hanterar uppgifter och säkerhet kan du se hur sådan information kan se ut i praktiken.
Ingen överenskommelse om slutet på samarbetet
Vad händer med uppgifterna när avtalet upphör? Returneras de, förstörs de eller förblir de någonstans? Detta är en av de punkter som oftast saknas, medan det just efter att ett samarbete upphört är svårt att enas om överenskommelser. Ett databehandlaravtal som inte säger något om detta lämnar dig med ett gap i administrationen precis när du kan behöva det minst.
Hur du undviker detta
De flesta av dessa misstag uppstår inte på grund av dålig vilja utan på grund av tidsbrist: ett databehandlaravtal ses som en formalitet medan det innehållsmässigt handlar om fyra eller fem konkreta punkter. Gå igenom dessa punkter innan du undertecknar, och ställ följdfrågor till leverantören om något saknas eller är otydligt formulerat. Om du är osäker på en specifik bestämmelse, rådfråga en jurist eller, vid frågor om tolkningen av dataskyddsförordningen själv, Datainspektionen. Svar på vanliga frågor om denna typ av dokument hittar du också under de vanliga frågorna om databelhandlingsavtal.
Denna förklaring är avsedd att hjälpa dig att förstå vad som bör ingå i ett databelhandlingsavtal, inte att bedöma om ett specifikt dokument som du mottog uppfyller kraven. Hur vi kom fram till denna information och vilka källor som ligger till grund för det läser du på sidan om hur det fungerar.
Vill du snabbt se var ditt företag står? Gör den kostnadsfria snabbkontollen eller bläddra genom ämnena i kunskapsbanken för att se vilket steg som är relevant för din situation.