GDPR
Databehandleravtale (DPA) i Norge: krav etter GDPR artikkel 28
GDPR artikkel 28 krever en skriftlig avtale mellom behandlingsansvarlig og databehandler. Slik sikrer du at avtalen faktisk holder mål.
En databehandleravtale (DPA) er ikke et formelt vedlegg du henter fra en mal og glemmer. Datatilsynet har de siste tre årene ilagt overtredelsesgebyr for manglende eller mangelfulle DPA-er i et tosifret antall norske saker. Denne guiden går gjennom hva som faktisk må stå i avtalen.
Når kreves det DPA?
DPA kreves når en ekstern part behandler personopplysninger på dine vegne. Typiske eksempler: skytjenesteleverandører, regnskapsbyråer, lønnssystemer, e-postmarkedsføring og kundesupport-verktøy.
Minimumsinnholdet etter artikkel 28(3)
- Behandlingens gjenstand og varighet
- Behandlingens art og formål
- Type personopplysninger og kategorier av registrerte
- Den behandlingsansvarliges rettigheter og plikter
- Krav om dokumentert instruks
- Taushetsplikt for ansatte hos databehandler
- Sikkerhetstiltak etter artikkel 32
- Vilkår for bruk av underleverandører
- Bistand med registrertes rettigheter
- Sletting eller retur ved avtaleslutt
- Revisjonsrett
Underdatabehandlere
Du må vite hvem databehandleren bruker som underleverandører. Kravet er enten spesifikk forhåndsgodkjenning eller generell godkjenning med rett til å protestere. Velg generell godkjenning kombinert med en oppdatert liste i bilag.
Tredjelandsoverføringer
Hvis databehandleren bruker servere utenfor EØS, må overføringsgrunnlag dokumenteres (typisk Standard Contractual Clauses + Transfer Impact Assessment). USA krever særlig oppmerksomhet etter Schrems II.
Vanlige feil
- DPA inngås etter at behandlingen har startet
- Sikkerhetstiltak er beskrevet for generelt ('industristandard')
- Ingen tidsfrist for varsel ved sikkerhetshendelser
- Manglende rett til revisjon eller penetrasjonstest
- Underleverandørlisten er utdatert