Databehandleraftale

En databehandleraftale er en skriftlig aftale mellem en dataansvarlig og en databehandler om, hvordan personoplysninger må behandles. Aftalen beskriver blandt andet formålet med behandlingen, parternes ansvar og de krav, databehandleren skal følge.

Hvorfor er begrebet vigtigt?

Databehandleraftaler er vigtige, fordi mange virksomheder bruger leverandører til eksempelvis hosting, løn, support, backup og cloudtjenester. Når en leverandør behandler personoplysninger på virksomhedens vegne, skal rammerne for behandlingen være tydelige og dokumenterede.

For virksomheder er databehandleraftaler relevante ved leverandørstyring, cloudtjenester, hosting, support, sikkerhedsforanstaltninger, underdatabehandlere, sletning, tilsyn og eventuelle overførsler af personoplysninger.

Typisk misforståelse

Den mest almindelige fejl er at tro, at en databehandleraftale i sig selv er tilstrækkelig. Den dataansvarlige skal også vurdere leverandøren, følge op på aftalen og sikre, at behandlingen fortsat foregår som aftalt.

Eksempel

En virksomhed bruger et eksternt system til kundedata. Leverandøren behandler oplysningerne på virksomhedens vegne, og parterne indgår derfor en databehandleraftale, der beskriver instrukser, sikkerhed, underdatabehandlere og håndtering af data, når samarbejdet ophører.

Best practice

• Afklar først, om leverandøren faktisk er databehandler.

• Beskriv behandlingens formål, omfang og varighed tydeligt.

• Angiv krav til sikkerhed, fortrolighed og håndtering af brud.

• Hold styr på godkendte underdatabehandlere og dataoverførsler.

• Følg regelmæssigt op på, om aftalen bliver overholdt.