Hvornår aftalen er påkrævet
Reglen er enkel. Behandler en leverandør persondata på jeres instruks og vegne, skal der være en databehandleraftale. Der er ingen undtagelser.
Det gælder typisk cloud- og hostingudbydere, mailudbydere som Microsoft 365 og Google Workspace, løn- og HR-systemer, CRM- og nyhedsbrevsplatforme, bogføringssystemer og eksterne IT-supportere med adgang til jeres systemer.
Der kræves ingen aftale, når modparten selv er dataansvarlig for behandlingen. Jeres revisor og advokat behandler data til egne lovbestemte formål og hører derfor ikke med.
Minimumsindholdet efter artikel 28
GDPR artikel 28, stk. 3 fastsætter minimumsindholdet. Behandlingens genstand, varighed, karakter og formål. Typen af persondata og kategorierne af registrerede. Og databehandlerens forpligtelser, herunder kun at behandle efter dokumenteret instruks, sikre fortrolighed, indføre passende tekniske og organisatoriske sikkerhedsforanstaltninger, bistå ved brud og ved registreredes rettigheder, og slette eller returnere data ved ophør.
Vigtigst i praksis er reglerne om underdatabehandlere, altså jeres leverandørs leverandører. Aftalen skal regulere, om og hvordan de må bruges. Her ender data typisk uden for EU, uden at nogen har opdaget det.
Aftalen i skuffen
Mange SMV’er har databehandleraftaler. Typisk leverandørens standardvilkår, accepteret med ét klik.
Men som dataansvarlige har I pligt til at føre tilsyn med, at aftalen bliver overholdt. Datatilsynet forventer dokumenteret og risikobaseret opfølgning, ikke bare en underskrift. Ved et tilsyn er spørgsmålet sjældent, om I har en aftale. Det er, hvordan I kontrollerer den. Det tilsyn er en af de opgaver, en ekstern DPO tager sig af.