databehandlingsavtale

En databehandlingsavtale er en avtale mellom en behandlingsansvarlig og en databehandler som regulerer behandlingen av personopplysninger på vegne av den behandlingsansvarlige. Avtalen har som formål å sikre at behandlingen skjer i samsvar med GDPR, personopplysningsloven og andre relevante regler, og at dataene beskyttes mot urettmessig tilgang og misbruk.

Innholdet i en typisk databehandlingsavtale omfatter blant annet: formål og varighet for behandlingen; hvilke typer personopplysninger som behandles og hvilke kategorier av registrerte disse gjelder; og hvilke instruksjoner den behandlingsansvarlige gir databehandleren. Den beskriver også databehandlerens plikter til å ivareta personvernet, herunder konfidensialitet og sikkerhetstiltak, og hvordan dataene skal håndteres etter endt avtale.

Nøkkelplikter inkluderer at databehandleren bare behandler etter dokumenterte instruksjoner, gjennomfører nødvendige tekniske og organisatoriske tiltak, og bistår den behandlingsansvarlige med å oppfylle registrertes rettigheter og eventuelle personopplysningsvurderinger. Ved brudd på personopplysningssikkerheten skal bruddmeldinger gis til den behandlingsansvarlige innen en avtalt frist, og i visse tilfeller til tilsynsmyndigheter.

Avtalen tar også stilling til bruk av underdatabehandlere, og pålegger at underdatabehandlere følger de samme forpliktelsene. Den regulerer overføring av personopplysninger til tredje land eller internasjonale organisasjoner, og hvilke rettslige garantier som kreves, som for eksempel standardiserte kontraktbestemmelser. Til slutt fastsettes oppbevaring og sletting av data etter formålet er oppfylt, samt rett til inspeksjon og audit i rimelig omfang.