Databehandleravtale i forbindelse med GDPR

General Data Protection Regulation (GDPR) inneholder bestemmelser om bruk av databehandlere, som er tredjeparter som behandler personopplysninger på vegne av en behandlingsansvarlig. Databehandleravtalen er et viktig juridisk dokument som regulerer forholdet mellom behandlingsansvarlige og databehandlere og sikrer at personopplysningene behandles i samsvar med personvernregelverket. I denne artikkelen vil vi utforske hva en databehandleravtale innebærer i forbindelse med GDPR, og hvilke krav og bestemmelser som bør inngå i en slik avtale.

Hva er en databehandleravtale?

En databehandleravtale er en juridisk bindende kontrakt mellom en behandlingsansvarlig og en databehandler som regulerer hvordan personopplysningene skal behandles, beskyttes og overføres. Avtalen skal sikre at begge parter overholder GDPR og at personopplysningene behandles på en sikker og ansvarlig måte. Avtalen bør dekke både tekniske og organisatoriske tiltak for å beskytte personopplysningene og forhindre uautorisert tilgang, endring, tap eller ødeleggelse.

Hvilke krav og bestemmelser bør inngå i en databehandleravtale?

GDPR stiller en rekke krav til innholdet i en databehandleravtale. Følgende bestemmelser bør inngå i en slik avtale:

1. Formålet med behandlingen:

Avtalen bør angi formålet med behandlingen av personopplysningene, samt hvilke typer personopplysninger og kategorier av registrerte som er omfattet av avtalen.

2. Varigheten av behandlingen:

Avtalen bør angi hvor lenge databehandleren er autorisert til å behandle personopplysningene på vegne av den behandlingsansvarlige.

Source: https://www.debet.no/gdpr/databehandleravtale-gdpr

3. Tekniske og organisatoriske tiltak:

Avtalen bør inneholde detaljerte beskrivelser av de tekniske og organisatoriske tiltakene som databehandleren skal iverksette for å beskytte personopplysningene og sikre etterlevelse av GDPR.

4. Underdatabehandlere:

Avtalen bør angi under hvilke forutsetninger databehandleren kan engasjere underdatabehandlere og hvilke krav som stilles til dem. Den behandlingsansvarlige bør ha rett til å godkjenne eller avvise bruk av underdatabehandlere.

5. Assistanse ved utøvelse av registrertes rettigheter:

Avtalen bør pålegge databehandleren å bistå den behandlingsansvarlige med å ivareta registrertes rettigheter , for eksempel retten til innsyn, retting, sletting og dataportabilitet. Databehandleren bør også samarbeide med den behandlingsansvarlige for å sikre at registrerte blir informert om deres rettigheter i samsvar med GDPR.

6. Melding om sikkerhetsbrudd:

Avtalen bør kreve at databehandleren umiddelbart varsler den behandlingsansvarlige om eventuelle sikkerhetsbrudd som involverer personopplysninger, og samarbeider med den behandlingsansvarlige for å håndtere og begrense konsekvensene av sikkerhetsbruddet.

7. Audit og inspeksjon:

Avtalen bør inkludere bestemmelser om den behandlingsansvarliges rett til å gjennomføre revisjon og inspeksjon av databehandlerens aktiviteter for å verifisere etterlevelse av GDPR og databehandleravtalen.

Opphør av avtalen:

Avtalen bør inneholde bestemmelser om hvordan personopplysningene skal håndteres ved opphør av avtalen, inkludert sletting eller tilbakelevering av personopplysningene til den behandlingsansvarlige.

Source: https://www.debet.no/gdpr/databehandleravtale-gdpr

Opprette og inngå en databehandleravtale

For å opprette og inngå en databehandleravtale, bør virksomheten følge disse trinnene:

1. Identifiser databehandlere:

Kartlegg hvilke tredjeparter som behandler personopplysninger på vegne av din virksomhet og som dermed kvalifiserer som databehandlere i henhold til GDPR.

3. Forhandle og inngå avtalen:

Diskuter databehandleravtalen med den potensielle databehandleren og forhandle eventuelle endringer som er nødvendige for å sikre overholdelse av GDPR og beskyttelse av personopplysningene. Når begge parter er enige om vilkårene, signeres avtalen av begge parter.

2. Utarbeid en databehandleravtale:

Basert på kravene og bestemmelsene nevnt ovenfor, utarbeid en databehandleravtale som dekker alle relevante aspekter av behandlingen av personopplysninger.

4. Oppbevar og oppdater avtalen:

Lagre databehandleravtalen på et sikkert sted og oppdater den ved behov, for eksempel når det skjer endringer i behandlingsaktiviteter, personvernlovgivning eller tredjeparters forhold.

En databehandleravtale er en viktig del av GDPR-compliance og bør tas på alvor av alle virksomheter som behandler personopplysninger. Ved å inngå en databehandleravtale med alle relevante tredjeparter, sikrer virksomheten at personopplysningene behandles på en ansvarlig og lovlig måte, samtidig som den reduserer risikoen for personvernbrudd og eventuelle sanksjoner som følge av manglende etterlevelse av GDPR.

Source: https://www.debet.no/gdpr/databehandleravtale-gdpr

Konsekvenser av manglende databehandleravtale

Manglende inngåelse av en databehandleravtale i henhold til GDPR kan ha alvorlige konsekvenser for både behandlingsansvarlige og databehandlere. Dette kan inkludere:

Bøter og sanksjoner:

Både behandlingsansvarlige og databehandlere kan bli pålagt bøter og sanksjoner av datatilsynsmyndigheter for manglende overholdelse av GDPR. Bøtene kan være opptil 10 millioner euro eller 2% av den globale årlige omsetningen, avhengig av hva som er høyest.

Erstatningsansvar:

Registrerte som lider skade som følge av manglende overholdelse av GDPR kan ha rett til erstatning fra behandlingsansvarlige og databehandlere. Dette kan resultere i betydelige kostnader for virksomheten.

Omdømmetap:

Manglende overholdelse av GDPR og personvernbrudd kan føre til betydelig omdømmetap for virksomheten, noe som kan ha negativ innvirkning på kundetillit og lojalitet.

For å unngå disse konsekvensene er det viktig å sørge for at alle databehandleravtaler er på plass og i samsvar med GDPR-kravene, og at de jevnlig gjennomgås og oppdateres for å sikre kontinuerlig etterlevelse av regelverket.

En databehandleravtale er en kritisk komponent i GDPR-compliance for virksomheter som behandler personopplysninger. Databehandleravtaler sikrer at personopplysningene behandles på en ansvarlig og sikker måte, og at både behandlingsansvarlige og databehandlere overholder GDPR-kravene. Ved å inngå og opprettholde databehandleravtaler med alle relevante tredjeparter, kan virksomheter redusere risikoen for personvernbrudd, sanksjoner og andre negative konsekvenser som følge av manglende etterlevelse av GDPR.

Source: https://www.debet.no/gdpr/databehandleravtale-gdpr