Databehandleraftale

En databehandleraftale er en aftale, som fastsætter, hvordan en virksomhed skal behandle kundernes data og personoplysninger. Aftalen er typisk skriftlig og bliver oftest godkendt elektronisk af den, som afgiver sine personoplysninger. Det betyder, at aftalen typisk bliver indgået mellem to virksomheder eller en virksomhed og en person.

Personoplysningerne kunne for eksempel være navn, adresse, betalingsoplysninger, politiske overbevisning, CPR-nummer, m.m. Man kan læse mere om personoplysninger her.

Hvad er formålet med en databehandleraftale?

Formålet med aftalen er at sikre, at virksomhederne på bedste vis beskytter kundernes oplysninger. Tanken om, at kundernes oplysninger skal beskyttes, stammer fra EU’s databeskyttelsesforordning (GDPR). Det er nemlig de regler, der kræver, at virksomhederne er opmærksomme på, hvordan kundernes oplysninger bliver behandlet.  

Hvornår skal man indgå en databehandleraftale?

Man skal indgå en databehandleraftale lige så snart, at en virksomhed modtager personoplysninger om en kunde. Det er med til at sikre, at kunden ved, at oplysninger bliver behandlet, og hvordan de bliver behandlet.

Hvad skal en databehandleraftale indeholde?

Der er fastlagt en række krav til, hvad en databehandleraftale skal indeholde. Det er blandt andet følgende:

• Formålet med behandlingen af oplysningerne
• Hvilken type af oplysninger der skal behandles?
• Instrukser for behandlingen – herunder hvordan kundernes oplysninger skal behandles?
• Hvor lang tid oplysningerne skal behandles?
• Hvem der ellers skal behandle oplysningerne?
• Hvordan de pågældende personoplysninger kan blive slettet eller tilbageleveret?
• Hvordan man underretter om ulovlige instrukser?

Hvem har ansvaret, når der er lavet en databehandleraftale?

Når de pågældende data skal behandles, er det typisk en databehandler og en dataansvarlig, som arbejder med oplysningerne. De har dog to forskellige opgaver.

• Dataansvarlig: Det er den dataansvarlige, som skal kontrollere oplysningerne, og som i sidste ende er ansvarlig for oplysningerne.
• Databehandleren: Databehandlerens opgave er at behandle oplysningerne korrekt og beskytte dem. Behandleren er typisk den part, som modtager oplysningerne, dvs. oftest en virksomhed.

Datatilsynets rolle i en databehandleraftale

Datatilsynet spiller en stor rolle, når det kommer til databehandleraftaler. Det er nemlig dem, som skal føre tilsyn med, at virksomhederne overholder reglerne. Det betyder, at de kan komme på tilsyn hos virksomheden. Det er også datatilsynet, man skal henvende sig til, hvis der er sket et sikkerhedsbrud, f.eks. hackere.

Skabelon eller vejledning til databehandleraftaler

Hvis man har behov for en skabelon eller vejledning til en databehandleraftaler, kan man få hjælp hos Datatilsynet. De har nemlig udarbejdet en række vejledninger og skabeloner, som man kan anvende for at udarbejde en aftale. Skabelonerne findes både på dansk, engelsk og andre sprog. Man kan finde vejledningerne og skabelonerne her.

Hvis man skal udarbejde en databehandleraftale, skal man huske på, at aftalen ikke må være i strid med GDPR-reglerne. Virksomheden skal altså altid skal sørge for, at aftalen følger de regler, der er fastsat i databeskyttelsesforordningen/persondataforordningen.