Ett databehandlingsavtal är det skriftliga avtal där en personuppgiftsansvarig anger villkoren för hur en personuppgiftsbiträde hanterar personuppgifter för sin räkning. GDPR gör detta avtal obligatoriskt så snart du outsourcar behandlingen och föreskriver de ämnen som det måste omfatta.
Innehållsförteckning
Rättslig grund
Skyldigheten finns i artikel 28(3) i den allmänna dataskyddsförordningen. Avtalet måste beskriva föremålet för behandlingen, varaktigheten, arten och syftet med den samt identifiera typerna av personuppgifter och kategorierna av registrerade. Det måste också innehålla åtta specifika åtaganden: behandling endast enligt dokumenterade instruktioner, sekretess, säkerhet enligt artikel 32 i GDPR, villkor för att anlita underbiträden, bistånd med begäranden från registrerade, bistånd vid intrång och konsekvensbedömningar, återlämnande eller radering efter uppsägning samt tillgängliggörande av information för revisioner. Artikel 28(1) tillägger att du endast får använda biträden som erbjuder tillräckliga garantier.
Hur det fungerar i praktiken
Nästan alla outsourcingavtal omfattas: lönehantering, webbhotell, din CRM-leverantör, företaget som strimlar dina arkiv. De flesta leverantörer använder sin egen mall, bifogad som ett schema till huvudavtalet. Den mallen är förhandlingsbar, även när den presenteras som fast. Var särskilt uppmärksam på schemat som beskriver bearbetningsåtgärderna: det måste återspegla vad som faktiskt händer, inte en generisk beskrivning som passar varje kund. Överföringar utanför Europeiska ekonomiska samarbetsområdet behöver en ytterligare grund, vanligtvis Europeiska kommissionens standardavtalsklausuler.
Var det går fel
Tre misstag återkommer. Det första är att teckna ett behandlingsavtal med en part som i själva verket inte är en behandlingsperson utan själv bestämmer syften och medel; det gör den till en gemensamt registeransvarig, med andra regler. Det andra är generell auktorisering för underbehandlingspersoner, vilket innebär att du glömmer bort var dina uppgifter fysiskt finns. Det tredje är ett säkerhetsschema som bara hänvisar till "lämpliga åtgärder" utan att nämna en enda konkret standard, vilket inte erbjuder något att hålla fast vid när en incident inträffar.
relaterade termer
Behandlingsavtalet är nära kopplat till personuppgiftsincidenten , eftersom det bör fastställa tidsfristen inom vilken bearbetaren måste informera dig, och till konsekvensbedömningen gällande dataskydd , för vilken bearbetaren måste lämna information. Det samverkar också med allmänna villkor , eftersom det ofta strider mot ansvarstaket i huvudavtalet.
Ytterligare läsning
Mer om detta ämne: Databehandlingsavtalet (verwerkersovereenkomst) enligt GDPR: en nederländsk praxisguide.
Vill du att vi granskar dina personuppgiftsavtal? Våra IT-jurister utvärderar dem och förhandlar där det behövs.
