Förstå datarörelseavtal (DPA)

Ett DPA är juridiskt obligatoriskt när en datakontrollant anlitar en databehandlare. Kontrollantern är den enhet som fastställer ändamål och medel för behandlingen. Behandlaren är den enhet som behandlar personuppgifter på kontrollanterns uppdrag. Detta avtal kodifierar behandlarens ansvar och säkerställer att de endast agerar enligt kontrollanterns explicita instruktioner.

DPA är nödvändiga när man använder tredjepartstjänster som SaaS-plattformar, HR-mjukvara från leverantörer eller molnbaserade e-posttjänster. Utan ett giltigt DPA riskerar både kontrollantern och behandlaren att bryta mot GDPR, vilket kan leda till administrativa böter på upp till 20 miljoner EUR eller 4 % av årlig global omsättning, beroende på vilket som är högre, enligt artikel 83(6).

Nyckelklausuler i DPA tjänar specifika syften. De kräver att behandlaren implementerar robusta säkerhetsmåtgärder för att förhindra dataintrång. De förpliktigar också behandlaren att assistera kontrollantern med begäran om tillgång från registrerade. Slutligen säkerställer de att data returneras eller raderas efter tjänstens slut, vilket förhindrar obehörig databehållning.