Dokumentasjon

Databehandleravtale

Juridisk avtale mellom behandlingsansvarlig og databehandler som regulerer hvordan personopplysninger behandles, lagres og beskyttes i tråd med GDPR.

Forklaring

En databehandleravtale regulerer behandling av personopplysninger på vegne av en behandlingsansvarlig. GDPR artikkel 28 krever en skriftlig avtale eller annet bindende rettslig dokument når en databehandler benyttes.

Avtalen beskriver blant annet formål, varighet, datatyper, instrukser, sikkerhet, bruk av underdatabehandlere, bistand og sletting eller tilbakelevering. Underdatabehandlere krever særlig eller generell skriftlig forhåndstillatelse. Ved generell tillatelse skal planlagte endringer varsles slik at behandlingsansvarlig kan motsette seg dem.

Avklar hvem som er behandlingsansvarlig i den aktuelle praksisen. En leverandør er databehandler når den behandler opplysninger på praksisens vegne; egne formål må vurderes separat. Lokal installasjon avgjør ikke rollen dersom leverandøren likevel behandler data gjennom for eksempel fjernsupport.

En avtale alene gjør ikke bruken lovlig. Behandlingsgrunnlag, sikkerhet, pasientinformasjon og eventuell DPIA må også være avklart. Se Datatilsynets veiledning og den utdypende guiden nedenfor.

Viktige punkter

Reguleres av GDPR artikkel 28
Gjelder behandling på vegne av behandlingsansvarlig
Avklar instrukser, sikkerhet og sletting
Underdatabehandlere krever forhåndstillatelse
Databehandleravtalen erstatter ikke øvrige personvernkrav

Eksempel fra praksis

Et legekontor vurderer et transkriberingsverktøy. Kontoret avklarer roller, innhenter avtale og underleverandøroversikt, undersøker tilgang og lagring og vurderer behandlingsgrunnlag og DPIA før bruk med pasientdata.

Vanlige spørsmål

Trenger alle KI-verktøy databehandleravtale?

Kravet gjelder når leverandøren behandler personopplysninger på kontorets vegne. Undersøk faktisk dataflyt og tilgang; KI-betegnelsen eller lokal installasjon avgjør ikke alene.