Ett databehandleravtal är en skriftlig överenskommelse mellan två parter: den som bestämmer varför och hur personuppgifter behandlas, och den som utför det på deras vägnar. Den första kallas i GDPR behandlingsansvarig, den andra är databehandlaren. Du behöver ett sådant avtal så snart du skickar ut personuppgifter till ett annat företag, till exempel en löneadministratör, en värdleverantör eller ett SaaS-verktyg där kunddata finns.
Kärnan är enkel: lagen föreskriver detta avtal eftersom den behandlingsansvarige förblir ansvarig för vad som händer med uppgifterna, även om ett annat företag utför det tekniska arbetet. Utan tydliga avtal är det inte klart vad den andra parten får och inte får göra med uppgifterna, hur länge de sparas och vad som händer vid ett dataintrång. Ett databehandleravtal gör denna fördelning synlig.
När är det fråga om en databehandlare
Inte varje part som du samarbetar med är en databehandlare. En revisor som upprättar din årsredovisning med eget professionellt ansvar är vanligtvis själv behandlingsansvarig för denna uppgift. En molntjänst som lagrar och behandlar din kundbas enligt dina instruktioner är vanligtvis en databehandlare. Skillnaden ligger i frågan om vem som bestämmer ändamål och medel för behandlingen. Om du är osäker på om en part är en databehandlare, ger kunskapsbanken från Datainspektionen vägledning, och du kan också gå igenom detta för varje situation i kunskapsbanken med GDPR-ämnen per situation.
Vad måste det minst innehålla
GDPR nämner ett antal ämnen som måste regleras i ett databehandleravtal: behandlingens ämne och varaktighet, dess karaktär och syfte, typen av personuppgifter och kategorier av registrerade, den behandlingsansvarigas skyldigheter och rättigheter, samt avtal om säkerhet, sekretess, underleverantörer och hur man samarbetar vid kontroller. Det står också hur ett eventuellt dataintrång hos databehandlaren hanteras, och vad som händer med uppgifterna när samarbetet upphör.
Denna förteckning finns ordagrant i förordningen själv; om du vill läsa den exakta formuleringen finner du den på EUR-Lex. Tillsynsmyndigheter som EDPB har dessutom publicerat riktlinjer om hur dessa bestämmelser tolkas i praktiken, till exempel om när en underleverantör måste anmälas i förväg.
Vem upprättar avtalet
I praktiken tillhandahåller ofta den större parten mallen: en programvara leverantör skickar sitt eget databehandleravtal tillsammans med en prenumeration, eller en kund skickar en till dig eftersom du behandlar uppgifter åt honom. Det betyder inte att du bara måste underteckna en tillhandahållen text. Det är lämpligt att kontrollera om alla nämnda ämnen ingår, om säkerhetsavtalen motsvarar vad du förväntar dig från den andra parten, och om ansvaret är rimligt fördelat. Om du är osäker på en specifik klausul är det klokt att presentera den för en jurist.
Varför detta är mer än en underskrift
Ett databehandleravtal är ingen formalitet som du löser en gång och sedan glömmer. Så snart en verktygsleverantör byter, en underleverantör används utanför EU, eller behandlingen av uppgifter ändrar karaktär, kan det befintliga avtalet bli föråldrat. Företag som arbetar med flera SaaS-verktyg har snabbt tio till tjugo sådana avtal igång, var och en med sin egen löptid och egna villkor. Att hålla reda på vilka avtal som finns, vilka som är föråldrade och vilka som saknas är en separat uppgift vid sidan av den dagliga driften.
Även de säkerhetsavtal som står i avtalet förtjänar uppmärksamhet: de säger något om hur en databehandlare hanterar åtkomst, kryptering och anmälningar vid incidenter. Läs mer om vad som är relevant här på sidan om säkerhet för personuppgifter hos databehandlare.
Vad du själv kan göra
Kontrollera vid varje nytt samarbete om personuppgifter delas, och i så fall om ett databehandlaravtal är nödvändigt och finns på plats. Spara dessa avtal på ett organiserat sätt, tillsammans med ditt register över behandlingsverksamheter där det framgår vilken verktyg som behandlar vilka uppgifter. Om du är osäker på om ett visst avtal är fullständigt kan du få det kontrollerat utan kostnad på de viktigaste punkterna. För vanliga frågor om det här ämnet, till exempel vad som händer om en leverantör inte vill underteckna något avtal, finns en översikt på sidan med vanliga frågor om GDPR.
Vill du veta hur detta passar in i din egen situation, till exempel hur många databehandlaravtal du sannolikt behöver och vilka av dem som kräver uppmärksamhet? Gör den kostnadsfria snabbkontroll eller registrera ett affärskonto så att överblicken uppdateras löpande. Så ser du på några minuter var du står, utan att du omedelbar är bunden till något.