Forståelse af databehandleraftaler (DPA'er)

En DPA er juridisk påkrævet, når en dataansvarlig tilknytter en databehandler. Den ansvarlige er den enhed, der bestemmer formål og midler til behandlingen. Behandleren er den enhed, der behandler persondata på den ansvarliges vegne. Denne aftale kodificerer behandlerens ansvar og sikrer, at de kun handler efter den ansvarliges eksplicitte instruktioner.

DPA'er er væsentlige ved brug af tredjepartstjenester såsom SaaS-platforme, HR-softwareleverandører eller cloud-e-mail-udbydere. Uden en gyldig DPA risikerer både den ansvarlige og behandleren manglende GDPR-compliance, hvilket kan føre til administrative bøder på op til €20 millioner eller 4% af årlig global omsætning, alt efter hvad der er højest, pr. GDPR Artikel 83(6).

Vigtige DPA-klausuler tjener specifikke formål. De kræver, at behandleren implementerer robuste sikkerhedsforanstaltninger for at forhindre databrud. De forpligter også behandleren til at assistere den ansvarlige med anmodninger om adgang til registreredes data. Endelig sikrer de, at data returneres eller slettes efter servicens ophør, hvilket forhindrer uautoriseret dataretention.