Hvad er en databehandleraftale?
Kort fortalt: En databehandleraftale er en skriftlig kontrakt mellem jer (den dataansvarlige) og en leverandør, der behandler personoplysninger på jeres vegne. GDPR artikel 28 kræver aftalen, og den fastlægger, hvad leverandøren må gøre med data, og hvordan de beskyttes.
Hvorfor er det vigtigt for små virksomheder?
Næsten alle små virksomheder bruger leverandører, der får adgang til personoplysninger: mail og filer i Microsoft 365, lønsystem, regnskabsprogram, CRM, hjemmeside og IT-support. Når leverandøren behandler data om jeres kunder eller medarbejdere, er I stadig ansvarlige for, at det sker lovligt.
Uden en databehandleraftale har I ingen skriftlig sikkerhed for, hvor data opbevares, hvem der har adgang, og hvad der sker, når samarbejdet stopper. Det er også et af de første dokumenter, Datatilsynet eller en større kunde beder om at se.
Sådan kommer I i gang
- Lav en liste over alle systemer og leverandører, der har adgang til personoplysninger.
- Find den databehandleraftale, leverandøren tilbyder – store udbydere som Microsoft har standardvilkår, der dækker det.
- Tjek at aftalen beskriver formål, typer af data, sikkerhedsforanstaltninger, underdatabehandlere og sletning ved ophør.
- Gem aftalerne samlet og gennemgå dem, når I skifter eller tilføjer leverandører.
Relevant hjælp
- Få styr på de tekniske krav i GDPR med GDPR og IT-sikkerhed.
- Se også IT-sikkerhed til virksomheder.
- Se flere begreber i IT-ordbogen.
Ofte stillede spørgsmål
Skal vi have en databehandleraftale med vores IT-leverandør?
Ja, hvis IT-leverandøren har adgang til systemer med personoplysninger, fx jeres mail, filer eller brugerkonti. Det gælder både fast IT-support og enkeltopgaver med fjernadgang.
Hvem skal udarbejde databehandleraftalen?
Det er jeres ansvar som dataansvarlig at sikre, at aftalen findes. I praksis bruger mange leverandørens standardaftale eller en skabelon, som I gennemgår og underskriver.
Hvad er en underdatabehandler?
En underdatabehandler er en leverandør, som jeres databehandler selv bruger, fx et datacenter. Databehandleraftalen skal beskrive, hvilke underdatabehandlere der bruges, og hvordan I får besked om ændringer.