Databehandleravtale

Databehandleravtale er en juridisk avtale mellom en behandlingsansvarlig og en databehandler som behandler personopplysninger på vegne av den behandlingsansvarlige. Den trer i kraft i samsvar med GDPR (generell personvernforordning) og norsk personopplysningslov og har som formål å sikre at behandling av personopplysninger skjer i samsvar med regelverket.

Avtalen beskriver blant annet hva som er behandlet, hvor lenge behandlingen varer, og hvilken type personopplysninger og hvilke kategorier av registrerte som omfattes. Den angir også formålet med behandlingen og hvilke operasjoner som kan utføres (for eksempel innsamling, lagring, endring, henting, sletting). Hovedformålet er at databehandler kun skal behandle opplysninger etter instruksjon fra den behandlingsansvarlige og i tråd med avtalens krav.

Viktige innholdselementer inkluderer forpliktelser for databehandler om konfidensialitet, iverksetting av nødvendige tekniske og organisatoriske sikkerhetstiltak, og assistanse til den behandlingsansvarlige med å oppfylle rettigheter til registrerte og eventuelle varslingsplikt ved databrudd. Avtalen bør også regulere bruk av underleverandører (sub-behandlere) og krav til tilbakelevering eller sletting av opplysninger ved avslutning av behandlingen.

Overføringer av data til land utenfor EØS må støttes av nødvendige beskyttelsestiltak, og overføringen må være i samsvar med GDPRs krav. Avtalen gir ofte retten til dokumentasjon og periodisk revisjon for å verifisere etterlevelse. Databehandleravtalen er derfor et sentralt verktøy for å sikre juridisk og teknisk samsvar i organisasjoners bruk av eksterne tjenesteleverandører.