databehandlingsaftaler

En databehandlingsaftale (DPA) er en kontrakt mellem en dataansvarlig og en databehandler, der fastlægger vilkårene for behandlingen af personoplysninger på vegne af den dataansvarlige i overensstemmelse med GDPR. Aftalen opstår typisk, når en organisation outsourcer behandling af personoplysninger til en ekstern tjenesteudbyder eller anvender en løsning, der indebærer behandling af personoplysninger. Formålet er at sikre ansvar, sikkerhed og overholdelse af reglerne for databehandling og at beskytte registreredes rettigheder.

Indholdet i en databehandlingsaftale bør som minimum omfatte: formålet med behandlingen, typer af personoplysninger og kategorier af registrerede, behandlingsvarighed og tilbagelevering eller sletning af data efter behandlingen, parternes forpligtelser og sikkerhedstiltag (tekniske og organisatoriske foranstaltninger, TOM'er), krav om bistand til den dataansvarlige med henblik på at opfylde registreredes rettigheder og at varsle ved sikkerhedsbrud til tilsynsmyndigheden og de registrerede inden for gældende frister (typisk uden unødig forsinkelse og inden for 72 timer efter bruddet blev kendt), underdatabehandlere og betingelser herfor samt håndtering af internationale dataoverførsler og anvendelse af godkendte overførselsmekanismer (f.eks. EU-standardkontraktklausuler). Aftalen bør også fastlægge rettigheder til revision og dokumentation af overholdelse.

Databehandlingsaftalen regulerer ansvarsfordelingen: databehandleren må kun behandle efter instruktion fra den dataansvarlige og skal implementere passende sikkerhedsforanstaltninger. Overholdelse af GDPR gennem DPA er centralt for at sikre lovlighed, risikostyring og gennemsigtighed i behandlingen. Ved ændringer i behandlingen eller i anvendte underdatabehandlere bør aftalen opdateres og genforhandles.