Databehandleravtale i forbindelse med GDPR

Databehandleravtale i forbindelse med GDPR General Data Protection Regulation (GDPR) inneholder bestemmelser om bruk av databehandlere, som er tredjeparter som behandler personopplysninger på vegne av en behandlingsansvarlig. Databehandleravtalen er et viktig juridisk dokument som regulerer forholdet mellom behandlingsansvarlige og databehandlere og sikrer at personopplysningene behandles i samsvar med personvernregelverket. I denne artikkelen vil vi utforske hva en databehandleravtale innebærer i forbindelse med GDPR, og hvilke krav og bestemmelser som bør inngå i en slik avtale.

Hva er en databehandleravtale?

En databehandleravtale er en juridisk bindende kontrakt mellom en behandlingsansvarlig og en databehandler som regulerer hvordan personopplysningene skal behandles, beskyttes og overføres. Avtalen skal sikre at begge parter overholder GDPR og at personopplysningene behandles på en sikker og ansvarlig måte. Avtalen bør dekke både tekniske og organisatoriske tiltak for å beskytte personopplysningene og forhindre uautorisert tilgang, endring, tap eller ødeleggelse.

Hvilke krav og bestemmelser bør inngå i en databehandleravtale?

GDPR stiller en rekke krav til innholdet i en databehandleravtale. Følgende bestemmelser bør inngå i en slik avtale:

1. Formålet med behandlingen: Avtalen bør angi formålet med behandlingen av personopplysningene, samt hvilke typer personopplysninger og kategorier av registrerte som er omfattet av avtalen.

2. Varigheten av behandlingen: Avtalen bør angi hvor lenge databehandleren er autorisert til å behandle personopplysningene på vegne av den behandlingsansvarlige.

Source: https://www.debet.no/gdpr/databehandleravtale-gdpr

90 50 10 80

3. Tekniske og organisatoriske tiltak: Avtalen bør inneholde detaljerte beskrivelser av de tekniske og organisatoriske tiltakene som databehandleren skal iverksette for å beskytte personopplysningene og sikre etterlevelse av GDPR.

4. Underdatabehandlere: Avtalen bør angi under hvilke forutsetninger databehandleren kan engasjere underdatabehandlere og hvilke krav som stilles til dem. Den behandlingsansvarlige bør ha rett til å godkjenne eller avvise bruk av underdatabehandlere.

5. Assistanse ved utøvelse av registrertes rettigheter: Avtalen bør pålegge databehandleren å bistå den behandlingsansvarlige med å ivareta registrertes rettigheter , for eksempel retten til innsyn, retting, sletting og dataportabilitet. Databehandleren bør også samarbeide med den behandlingsansvarlige for å sikre at registrerte blir informert om deres rettigheter i samsvar med GDPR.

6. Melding om sikkerhetsbrudd: Avtalen bør kreve at databehandleren umiddelbart varsler den behandlingsansvarlige om eventuelle sikkerhetsbrudd som involverer personopplysninger, og samarbeider med den behandlingsansvarlige for å håndtere og begrense konsekvensene av sikkerhetsbruddet.

7. Audit og inspeksjon: Avtalen bør inkludere bestemmelser om den behandlingsansvarliges rett til å gjennomføre revisjon og inspeksjon av databehandlerens aktiviteter for å verifisere etterlevelse av GDPR og databehandleravtalen.

Opphør av avtalen: Avtalen bør inneholde bestemmelser om hvordan personopplysningene skal håndteres ved opphør av avtalen, inkludert sletting eller tilbakelevering av personopplysningene til den behandlingsansvarlige.

Source: https://www.debet.no/gdpr/databehandleravtale-gdpr

90 50 10 80

Opprette og inngå en databehandleravtale For å opprette og inngå en databehandleravtale, bør virksomheten følge disse trinnene:

1. Identifiser databehandlere:

2. Utarbeid en databehandleravtale:

Kartlegg hvilke tredjeparter som

Basert på kravene og

behandler personopplysninger

bestemmelsene nevnt ovenfor,

på vegne av din virksomhet og

utarbeid en databehandleravtale

som dermed kvalifiserer som

som dekker alle relevante

databehandlere i henhold til

aspekter av behandlingen av

GDPR.

personopplysninger.

3. Forhandle og inngå avtalen:

4. Oppbevar og oppdater avtalen:

Diskuter databehandleravtalen med den potensielle

Lagre databehandleravtalen på

databehandleren og forhandle

et sikkert sted og oppdater den

eventuelle endringer som er

ved behov, for eksempel når det

nødvendige for å sikre

skjer endringer i

overholdelse av GDPR og

behandlingsaktiviteter,

beskyttelse av personopplysningene. Når begge

personvernlovgivning eller

parter er enige om vilkårene, signeres avtalen av

tredjeparters forhold.

begge parter.

En databehandleravtale er en viktig del av GDPR-compliance og bør tas på alvor av alle virksomheter som behandler personopplysninger. Ved å inngå en databehandleravtale med alle relevante tredjeparter, sikrer virksomheten at personopplysningene behandles på en ansvarlig og lovlig måte, samtidig som den reduserer risikoen for personvernbrudd og eventuelle sanksjoner som følge av manglende etterlevelse av GDPR.

Source: https://www.debet.no/gdpr/databehandleravtale-gdpr

90 50 10 80

Konsekvenser av manglende databehandleravtale Manglende inngåelse av en databehandleravtale i henhold til GDPR kan ha alvorlige konsekvenser for både behandlingsansvarlige og databehandlere. Dette kan inkludere:

Bøter og sanksjoner: Både behandlingsansvarlige og databehandlere kan bli pålagt bøter og sanksjoner av datatilsynsmyndigheter for manglende overholdelse av GDPR. Bøtene kan være opptil 10 millioner euro eller 2% av den globale årlige omsetningen, avhengig av hva som er høyest.

Erstatningsansvar:

Omdømmetap:

Registrerte som lider skade

Manglende overholdelse av

som følge av manglende

GDPR og personvernbrudd

overholdelse av GDPR kan

kan føre til betydelig

ha rett til erstatning fra

omdømmetap for

behandlingsansvarlige og

virksomheten, noe som kan

databehandlere. Dette kan

ha negativ innvirkning på

resultere i betydelige

kundetillit og lojalitet.

kostnader for virksomheten.

For å unngå disse konsekvensene er det viktig å sørge for at alle databehandleravtaler er på plass og i samsvar med GDPR-kravene, og at de jevnlig gjennomgås og oppdateres for å sikre kontinuerlig etterlevelse av regelverket.

En databehandleravtale er en kritisk komponent i GDPR-compliance for virksomheter som behandler personopplysninger.

Databehandleravtaler sikrer at personopplysningene behandles på en ansvarlig og sikker måte, og at både behandlingsansvarlige og databehandlere overholder GDPR-kravene. Ved å inngå og opprettholde databehandleravtaler med alle relevante tredjeparter, kan virksomheter redusere risikoen for personvernbrudd, sanksjoner og andre negative konsekvenser som følge av manglende etterlevelse av GDPR.

Source: https://www.debet.no/gdpr/databehandleravtale-gdpr

90 50 10 80