Ofte stillede spørgsmål om databehandleraftale
Hvad er en databehandleraftale?
En databehandleraftale er en juridisk aftale mellem dataansvarlig og databehandler om personoplysninger. Aftalen regulerer, hvordan en ekstern leverandør må behandle personoplysninger på virksomhedens vegne. Den bruges eksempelvis ved samarbejde med lønsystemer, cloududbydere, marketingplatforme eller IT-leverandører. Formålet er at sikre klare rammer, dokumentation og overholdelse af GDPR.
Hvornår skal man indgå en databehandleraftale?
Du skal indgå en databehandleraftale, når en ekstern leverandør behandler personoplysninger på din virksomheds vegne. Det gælder, når leverandøren følger virksomhedens instrukser og ikke selv bestemmer formålet med behandlingen. Aftalen skal være på plads, før leverandøren får adgang til personoplysningerne. Hvis leverandøren selv bestemmer formål og midler, er der normalt tale om en selvstændig dataansvarlig i stedet.
Hvad skal en databehandleraftale indeholde?
En databehandleraftale skal beskrive behandlingen, parternes ansvar og databehandlerens GDPR-forpligtelser. Den skal blandt andet angive behandlingens varighed, formål, karakter, typer af personoplysninger og kategorier af registrerede. Aftalen bør også regulere fortrolighed, sikkerhedsforanstaltninger, brug af underdatabehandlere, hjælp til de registreredes rettigheder samt håndtering af sikkerhedsbrud. Endelig skal den beskrive, hvordan oplysningerne tilbageleveres eller slettes, når samarbejdet ophører, og hvordan kontrol eller revision kan gennemføres.
Hvem har ansvaret for en databehandleraftale?
Den dataansvarlige har ansvaret for at vælge en egnet databehandler og indgå en korrekt aftale. Den dataansvarlige skal samtidig sikre, at behandlingen sker lovligt og dokumentere, at leverandøren giver tilstrækkelige garantier. Databehandleren har ansvar for at følge de dokumenterede instrukser og overholde sine egne forpligtelser efter GDPR. Begge parter bør derfor gennemgå aftalen grundigt, før behandlingen af personoplysninger begynder.
Er en databehandleraftale det samme som en serviceaftale?
Nej, en databehandleraftale regulerer persondatabehandling, mens en serviceaftale regulerer selve leverancen. En serviceaftale kan eksempelvis beskrive pris, oppetid, support, levering og opsigelse. Databehandleraftalen fastlægger derimod kravene til sikkerhed, instrukser, underleverandører og behandling af personoplysninger. De to aftaler kan være separate dokumenter eller indgå som forskellige dele af den samme kontrakt.
Hvad sker der, hvis man ikke har en databehandleraftale?
Manglende databehandleraftale kan medføre brud på GDPR og øge virksomhedens juridiske og økonomiske risiko. Virksomheden kan få problemer med at dokumentere, at personoplysninger behandles lovligt og sikkert. Datatilsynet kan i relevante tilfælde reagere med kritik, påbud eller sanktioner, afhængigt af overtrædelsens karakter. En skriftlig aftale mindsker desuden risikoen for misforståelser om adgang, sikkerhed, underdatabehandlere og sletning af data.
