Tietojenkäsittelysopimus (DPA)

Kirjallinen sopimus, jota GDPR:n 28 artikla edellyttää rekisterinpitäjän ja henkilötietojen käsittelijän välillä. Sopimuksessa on määriteltävä muun muassa käsittelyn kohde ja kesto, tietojen tyyppi, käsittelijän velvollisuudet, tietoturvavaatimukset, alikäsittelijöitä koskevat säännöt sekä avunanto tietoturvaloukkausten ja tarkastuspyyntöjen yhteydessä. Ilman voimassa olevaa tietojenkäsittelysopimusta on lainvastaista antaa toimittajan käsitellä henkilötietoja yrityksen puolesta. Tanskan tietosuojaviranomainen on julkaissut vakiomallin, jota moni pk-yritys käyttää lähtökohtana.