Vad är ett databehandlingsavtal (DPA)?​​ 

Viktiga takeaways​​ 

• Vad är databehandlingsavtal: Databehandlingsavtal (DPA) definierar hur personuppgiftsansvariga och personuppgiftsbiträden hanterar personuppgifter, inklusive säkerhet, sekretess och varje parts roll.​​ 
• När ett dataskyddsavtal behövs: Företag behöver ett dataskyddsavtal när en tredjepartsleverantör behandlar personuppgifter för deras räkning.​​ 
• Varför databehandlingsavtal är viktiga: Databehandlingsavtal hjälper företag att sätta förväntningar på databehandlingsrelationen.​​ 
• Efterlevnadsöverväganden: Globala företag måste beakta integritetslagar, inklusive kraven på allmän dataskyddsförordning (GDPR), när de hanterar relationer med tredjepartsleverantörer som behandlar personuppgifter.​​ 

I takt med att ditt företag expanderar till nya marknader kommer du sannolikt att arbeta med ett växande antal tredjepartsleverantörer som stödjer din verksamhet. Dessa relationer innebär tillgång till personuppgifter, så det är viktigt att förstå:​​ 

• • vem som kan komma åt den informationen​​ 
  • hur tredje parter behandlar det​​ 
  • vilka skyddsåtgärder finns för att skydda den​​ 

Ett databehandlingsavtal (DPA) hjälper till att fastställa förväntningar mellan personuppgiftsansvariga och personuppgiftsbehandlare. Detta juridiska och bindande avtal beskriver hur parterna hanterar personuppgifter, inklusive omfattningen av behandlingen, säkerhetsåtgärder och skyldigheter som varje part måste följa.​​ 

Medan många associerar dataskyddsmyndigheter med EU:s allmänna dataskyddsförordningen (GDPR) (allmänna dataskyddsförordningen (GDPR)), kan andra integritetslagar runt om i världen innehålla liknande krav för att skydda och hantera personuppgifter. Att förstå när ni behöver ett dataskyddsavtal kan hjälpa ert företag att bygga starkare dataskyddsstrategier och stödja era integritetsskyldigheter i de regioner där ni är verksamma. I den här guiden får du lära dig vad ett databevarandeavtal är, vad det innebär, när du behöver ett och mer.​​ 

Vad är ett databehandlingsavtal?​​ 

Ett dataskyddsavtal är ett juridiskt avtal mellan personuppgiftsansvariga och personuppgiftsbehandlare som anger hur personuppgifter ska hanteras. Den förklarar varje parts ansvar, inklusive:​​ 

• De typer av personuppgifter som personuppgiftsbiträdet har åtkomst till: ett dataskyddsavtal identifierar den information som ingår i behandlingsrelationen och specificerar hur personuppgiftsbiträdet får använda den.​​ 
• De säkerhetsåtgärder som personuppgiftsbehandlaren måste följa: Avtal kan specificera krav för att skydda data, såsom sekretesspraxis, åtkomstkontroller och andra skyddsåtgärder.​​ 
• Båda parters skyldigheter: Ett dataskyddsavtal fastställer tydliga förväntningar för varje part genom hela behandlingsrelationen, inklusive de som rör säkerhet, sekretess och efterlevnad.​​ 

Företag använder dataskyddsavtal när de arbetar med tredjepartsleverantörer som behandlar personuppgifter för deras räkning, stödjer olika affärsverksamheter och behöver tillgång till personuppgifter. Exempel inkluderar:​​ 

• HR teknik: HR plattformar bearbetar information relaterad till team , kandidater och Arbetskrafts ledningsaktiviteter.​​ 
• E-posthanteringsutkontraktering: E-postleverantörer kan behandla kontaktinformation och kommunikation.​​ 
• Finansiell redovisning: Redovisningsplattformar och leverantörer kan få åtkomst till finansiella register, anställningsinformation och annan affärsdata samtidigt som de stöder den finansiella verksamheten.​​ 
• Datainsamling eller digitalisering: Externa leverantörer kan hjälpa till att samla in, organisera eller konvertera data till mer tillgängliga digitala format.​​ 
• Molnlagring: Molnleverantörer kan lagra personuppgifter och säkerhetskopior för företag åt företag och måste följa överenskomna säkerhetskrav för att skydda den informationen.​​ 
• Lönesupport: Löneleverantörer behandlar känslig skatte- och ersättningsinformation som behövs för att stödja betalnings- och anställningsrelaterade aktiviteter.​​ 
• CRM-plattformar (Customer Relationship Management): CRM-leverantörer kan bearbeta kundinformation för att stödja försäljning, service och kommunikation.​​ 

Ett dataskyddsavtal skapar en gemensam förståelse för hur behandlingsaktiviteter kommer att ske. Den kan identifiera omfattningen av relationen, fastställa säkerhetskrav och förtydliga hur varje organisation bör hantera sina integritetsskyldigheter.​​ 

Varför är dataskyddsavtal viktiga?​​ 

Ett dataskyddsavtal hjälper företag att bättre förstå hur parter delar data och fastställa ansvarsskyldighet för att skydda den. Genom att fastställa ansvarsområden innan en relation mellan personuppgiftsansvarig och personuppgiftsbiträde inleds bygger företag en starkare grund för att hantera integritetskrav och minska osäkerhet.​​  

Ett dataskyddsavtal kan hjälpa företag att arbeta mer effektivt när de expanderar över gränserna genom att skapa konsekventa förväntningar på hur tredje parter hanterar personuppgifter. Snarare än att ersätta ett företags bredare integritetspolicy och efterlevnadsskyldigheter är ett dataskyddsavtal en del av en bredare strategi för att skydda personuppgifter.​​ 

Hur allmänna dataskyddsförordningen (GDPR) påverkar databehandlingsavtal​​ 

EU:s allmänna dataskyddsförordning (GDPR) lägger större vikt vid dataskyddsavtal genom att fastställa specifika krav för avtal mellan personuppgiftsansvariga och personuppgiftsbiträden. Enligt artikel 28 i den allmänna dataskyddsförordningen (GDPR) måste personuppgiftsansvariga samarbeta med personuppgiftsbiträden som ger tillräckliga garantier för att skydda uppgifter och upprätta avtal som tar upp ansvar för båda parter.​​ 

Dessa krav gäller när den allmänna dataskyddsförordningen (GDPR) omfattar behandlingsverksamhet. Även om den allmänna dataskyddsförordningen (GDPR) har sitt ursprung i EU, kan den även gälla scenarier där företag utanför EU behandlar personuppgifter för individer inom regionen.​​ 

Databehandlingsavtal på den globala scenen​​ 

allmänna dataskyddsförordningen (GDPR) är ett av de mest erkända dataskyddsramverken i världen. Företag kan behöva överväga liknande avtalsenliga åtaganden när de arbetar med tredjepartsleverantörer som behandlar personuppgifter, även när de inte är verksamma inom EU. Sekretesslagar varierar mellan länder, och en organisations skyldigheter beror på:​​ 

• • var den verkar​​ 
  • vars uppgifter den behandlar​​ 
  • vilka tjänster den tillhandahåller​​ 

Att veta när ditt företag behöver ett dataskyddsavtal kan hjälpa dig att skapa tydligare processer för att skydda personuppgifter och stödja dina integritetskrav oavsett var du verkar.​​ 

När behövs ett databehandlingsavtal?​​ 

Dataskyddsavtal är nödvändiga när en organisation behandlar personuppgifter för en annan organisations räkning. Enligt allmänna dataskyddsförordningen (GDPR) behöver företag en DPA när delning av personuppgifter skapar en personuppgiftsansvarig relation. I dessa situationer hjälper avtalet till att definiera:​​ 

• • hur en leverantör kan använda informationen​​ 
  • vilka skydd gäller​​ 
  • hur båda parter bör hantera uppgörelsen.​​ 

Några vanliga exempel på när företag behöver ett dataskyddsavtal inkluderar att använda:​​ 

• • en löneleverantör​​ 
  • en HR-plattform​​ 
  • molnlagring​​ 
  • annan teknikleverantör som kan behandla anställd-, kund- eller affärsdata​​ 

Dataskyddsmyndigheten anger tydliga förväntningar innan behandlingen påbörjas.​​ 

När behövs inte ett databehandlingsavtal​​  

Inte alla relationer som involverar personuppgifter behöver ett dataskyddsavtal. Vanliga scenarier inkluderar:​​ 

• Oberoende personuppgiftsansvariga: Oberoende tredje parter kan bestämma hur och varför de behandlar personuppgifter. Det innebär att de agerar under sitt eget integritetsansvar snarare än att agera som personuppgiftsbiträden.​​ 
• Professionella tjänsteleverantörer: Vissa leverantörer, inklusive de som erbjuder juridiska, redovisnings- och finansiella rådgivningstjänster, har separata sekretess- och integritetsansvar baserat på deras verksamhets art.​​ 
• Begränsade dataåtkomstrelationer: En leverantör kan få åtkomst till data oavsiktligt utan att behandla dem för en annan organisations räkning.​​ 
• Myndigheter och tillsynsorgan: Företag som behandlar data enligt egen rättslig befogenhet kan inte fungera som personuppgiftsbiträden och behöver inte ett databehandlaravtal.​​ 

När du avgör om du behöver ett dataskyddsavtal, överväg följande:​​ 

• • vem som bestämmer ändamålet med behandlingen​​ 
  • vem som har tillgång till informationen​​ 
  • vilken roll varje organisation spelar i relationen​​ 

Förstå rollerna i ett databehandlingsavtal​​ 

I ett dataskyddsavtal spelar två parter olika roller: den personuppgiftsansvarige och personuppgiftsbehandlaren. Att förstå skillnaden mellan dem kan hjälpa dig att fastställa varje parts skyldigheter när personuppgifter flyttas mellan två företag.​​ 

Vad är en personuppgiftsansvarig?​​ 

En personuppgiftsansvarig är en organisation som bestämmer varför och hur data behandlas. Det är partiet som bestämmer:​​ 

• • vilken information den samlar in​​ 
  • varför den samlar in den​​ 
  • hur personuppgiftsbehandlaren kan använda uppgifterna för dess räkning​​ 

Säg att ditt företag agerar som personuppgiftsansvarig när det samlar in personuppgifter från kunder, team eller andra parter för att stödja affärsverksamhet. Om du samarbetar med en tredjepartsleverantör för att behandla den informationen, avgör ditt företag varför leverantören behandlar den.​​ 

Vad är en databehandlare?​​ 

Ett personuppgiftsbiträde är den organisation som behandlar personuppgifter för den personuppgiftsansvariges räkning. Den fastställer inte syftet med behandlingen eller hur uppgifterna kommer att användas utöver den personuppgiftsansvariges instruktioner. Den måste följa den registeransvariges specifika instruktioner för behandling.​​ 

En databehandlare kan innefatta:​​  

• • teknikleverantörer​​ 
  • molntjänstföretag​​ 
  • löneplattformar​​ 
  • andra leverantörer som behandlar personuppgifter vid leverans av en tjänst​​ 

Deras arbete innebär att följa uttryckliga bearbetningsinstruktioner samtidigt som lämpliga skyddsåtgärder vidtas.​​ 

Vad ingår i ett databehandlingsavtal?​​ 

Ett dataskyddsavtal definierar tydligt hur företag hanterar personuppgifter när en personuppgiftsansvarig arbetar med ett personuppgiftsbiträde. Exakta detaljer kan variera beroende på gällande sekretesslagar. De flesta dataskyddsmyndigheter behandlar viktiga områden relaterade till databehandling, säkerhetsåtgärder och partsansvar.​​ 

1. Detaljer om databehandlingsaktiviteter​​ 

Dataskyddsavtal hjälper båda parter att förstå vilken information som ingår i avtalet och hur personuppgiftsbiträden kan använda den. Avtalet förklarar omfattningen av behandlingsrelationen och specificerar vad personuppgiftsbehandlaren får göra med de berörda uppgifterna.​​ 

Detaljer inkluderar:​​ 

• • De typer av personuppgifter som är föremål för behandling​​ 
  • De kategorier av individer vars information behandlas​​ 
  • Syftet med och karaktären av behandlingsaktiviteter​​ 
  • Behandlingsrelationens totala varaktighet​​ 
  • Tydliga instruktioner för hur personuppgiftsbehandlaren får använda uppgifterna​​ 
  • Krav för att återlämna eller radera personuppgifter efter att relationen upphört.​​ 

Att dokumentera dessa detaljer hjälper företag att fastställa förväntningar innan någon bearbetning påbörjas. Parterna kan använda detaljerna som referenspunkt genom hela relationen.​​ 

2. Rättigheter, skyldigheter och behandlingsinstruktioner​​ 

Avtal måste ange vad varje part måste göra vid behandling av personuppgifter. Registeransvariga tillhandahåller instruktioner som processorer måste följa. Personuppgiftsbehandlare måste utföra överenskomna behandlingsaktiviteter. Ett dataskyddsavtal måste specificera att den personuppgiftsansvarige, inte personuppgiftsbiträdet, behåller kontrollen över uppgifterna och vad som händer med dem.​​ 

Dataskyddsmyndigheter kan ta itu med:​​  

• • Den registeransvariges instruktioner för hur registerföraren ska använda data​​ 
  • Personuppgiftsbehandlarens ansvar vid utförande av behandlingsaktiviteter​​ 
  • Den registeransvariges rätt att få information om aktiviteter​​ 
  • Varje parts skyldigheter relaterade till integritet, säkerhet och efterlevnad​​ 

När ett personuppgiftsbidragsavtal utarbetas korrekt kan det hjälpa båda parter att förstå sina respektive skyldigheter och undvika förvirring.​​ 

3. Sekretess och säkerhet​​ 

Bestämmelser om sekretess och säkerhetsåtgärder kan skapa förväntningar på skyddet av personuppgifter. Ett databehandlaravtal måste specificera vilka åtgärder en personuppgiftsbiträde kommer att använda.​​ 

Beroende på vilka tjänster som berörs kan relevanta åtgärder innefatta:​​ 

• • Implementera sekretessavtal för personer som har tillgång till uppgifterna​​ 
  • Strikta åtkomstkontroller som begränsar vem som kan se informationen​​ 
  • Datakryptering och pseudonymiseringsmetoder​​ 
  • Processer som stöder datatillgänglighet, motståndskraft och återhämtning​​ 
  • Rutinmässiga granskningar och säkerhetstester​​ 

De specifika åtgärder som ingår i ett dataskyddsavtal bör återspegla den typ av information som är inblandad och den risk som är förknippad med behandlingsaktiviteter.​​ 

4. Krav för underbiträden​​ 

Vissa personuppgiftsbehandlare samarbetar med andra leverantörer för att stödja sina tjänster. Dessa företag, så kallade underbiträden, kan behöva följa ytterligare krav. Ett dataskyddsavtal måste innehålla instruktioner för att hantera dessa relationer och täcka eventuella extra regler som gäller när en annan organisation behandlar personuppgifter.​​ 

Bestämmelser om underbiträden omfattar:​​ 

• • Huruvida personuppgiftsbiträden behöver auktorisering innan de samarbetar med underpersonuppgiftsbiträden​​ 
  • Skyldigheter som gäller för underbiträden när de behandlar uppgifter​​ 
  • Hur processorer övervakar underprocessor efterlevnad​​ 
  • Hur processorer kommunicerar ändringar som involverar underprocessorer​​ 

Tydliga krav för underleverantörer ger personuppgiftsansvariga mer insyn i hur personuppgifter flyttas över ett bredare nätverk av tjänsteleverantörer.​​ 

Stöd för integritets- och efterlevnadsförpliktelser​​ 

Slutligen måste en dataskyddsmyndighet förklara hur ett personuppgiftsbiträde kan stödja en personuppgiftsansvarigs integritetsansvar. Behandlaraktiviteter som fokuserar på support kan innefatta:​​ 

• • Bistå med konsekvensbedömningar för dataskydd​​  
  • Stödjande svar på begäran om data från registrerade​​ 
  • Tillhandahålla information som behövs för efterlevnadsgranskningar och revisioner​​ 
  • Bistå med intrångshantering​​ 
  • Föra register över behandlingsaktiviteter när så är tillämpligt​​ 

Att definiera dessa detaljer tidigt kan hjälpa företag att agera snabbare och mer effektivt om integritets- eller säkerhetsproblem uppstår.​​ 

Vad händer efter ett dataintrång enligt en DPA?​​ 

Om ett personuppgiftsintrång sannolikt utgör en risk för berörda individers rättigheter och friheter måste de inblandade företagen vidta specifika, omedelbara åtgärder. Företag måste anmäla till relevant tillsynsmyndighet inom 72 timmar efter att de blivit medvetna om intrånget.​​ 

Om intrånget utgör en hög risk måste företagen även meddela dessa individer. Om företaget redan har effektiva tekniska och organisatoriska protokoll för riskreducering på plats är en anmälan inte nödvändig.​​ 

Säg att ett företag använder en tredjepartsleverantör för att lagra kundinformation. Om leverantören (personuppgiftsbiträdet) upplever en säkerhetsincident som exponerar personuppgifter, måste leverantören meddela företaget (personuppgiftsansvarig) så att organisationen kan utvärdera intrånget och fastställa lämpliga nästa steg.​​  

Beroende på omständigheterna måste företagaren underrätta tillsynsmyndigheter, berörda individer eller båda. Svaret kan bero på faktorer som:​​ 

• • information involverad​​ 
  • antal drabbade personer​​ 
  • skydd som redan finns på plats​​ 

Vilka är riskerna med att inte uppfylla DPA-kraven?​​ 

1. När integritetslagar kräver att företag har ett databehandlingsavtal kan det skapa efterlevnadsrisker om man inte upprättar ett sådant. Enligt allmän dataskyddsförordning (GDPR) kan personuppgiftsansvariga och personuppgiftsbiträden bli föremål för avgifter om de inte uppfyller sina dataskyddsskyldigheter, inklusive krav relaterade till avtal mellan personuppgiftsansvariga och personuppgiftsbiträden.​​ 
2. Om ett dataintrång inträffar och tillsynsmyndigheter finner att en organisation inte följde reglerna kan de vidta åtgärder. Potentiella åtgärder kan innefatta:​​ 
   
   • • En formell varning eller tillrättavisning​​ 
     • Tillfälliga eller permanenta begränsningar av databehandling​​ 
     • Administrativa böter på upp till 20 miljoner euro eller 4% av företagets totala årliga globala omsättning, beroende på vilket som är högst.​​ 
3. De specifika konsekvenserna beror på överträdelsens art, effekterna på berörda individer och organisationens åtgärder. Hur som helst kan bristande efterlevnad skapa operativa och anseendemässiga utmaningar.​​ 

Att hantera dataskyddsavtal (DPA) över flera leverantörer, jurisdiktioner och interna team kan skapa ytterligare administrativa utmaningar för växande företag.​​ 

Utan tydlig tillsyn kämpar många med att identifiera luckor i sina dataskyddspraxis och reagera snabbt när integritetsproblem uppstår.​​ 

Att etablera en strukturerad strategi för databehandlingsavtal kan hjälpa företag att förbättra synligheten, förbli konsekventa och stödja ansvarsfull tillväxt över gränserna.​​ 

Bygg globala team med G-P​​ 

När du bygger internationella team är datasekretess en viktig faktor. Samarbeta med G-P för att stödja dina gränsöverskridande anställningsbehov. Vår Global Employment Platform™ (global anställningsplattform) hjälper företag att anställa, onboarda, hantera och betala yrkesverksamma över hela världen samtidigt som de arbetar med att uppfylla anställningskraven.​​  

Att ha rätt processer och expertis på plats kan hjälpa din organisation att hantera dataskyddsfrågor i takt med att ni växer. Som en global arbetsgivare med registrerad status hjälper G-P dig att anställa och betala kompetens i fler än 180länder utan att behöva etablera lokala enheter. Vi tar dataskydd på största allvar och hjälper företag som ditt att stödja internationella anställningsprocesser och hantera lokala arbetskraftskrav.​​ 

På G-P hjälper vi dig att effektivisera dina rekryteringsprocesser genom att kombinera teknik med mänsklig expertis. Med vår Global Employment Platform ™ (global anställningsplattform) kan du anställa och onboarda dina nya team mer effektivt, vilket sparar tid och förenklar din tillväxtprocess.​​ 

Begär en offert idag, eller kontakta oss för att få veta hur G-P kan stödja er globala rekryteringsstrategi.​​ 

Vanliga frågor​​