Databehandleravtale (DPA)

Den skriftlige avtalen som artikkel 28 i GDPR krever mellom en behandlingsansvarlig og en databehandler. Avtalen skal blant annet fastsette behandlingens gjenstand og varighet, typen opplysninger, databehandlerens plikter, sikkerhetskrav, regler for underdatabehandlere samt bistand ved brudd på personopplysningssikkerheten og innsynskrav. Uten en gyldig databehandleravtale er det ulovlig å la en leverandør behandle personopplysninger for virksomheten. Det danske Datatilsynet har publisert en standardmal som mange små og mellomstore virksomheter tar utgangspunkt i.