DPA (pogodba o obdelavi podatkov)

Pisna pogodba, ki jo člen 28 GDPR zahteva med upravljavcem in obdelovalcem. Določati mora predmet in trajanje obdelave, vrste podatkov, obveznosti obdelovalca, varnostne zahteve, pravila za podobdelovalce ter pomoč pri kršitvah varstva podatkov in zahtevah za dostop. Brez veljavne pogodbe o obdelavi podatkov je nezakonito, da bi zunanji ponudnik obdeloval osebne podatke v imenu podjetja. Danski Urad za varstvo podatkov je objavil standardno predlogo, ki jo mnoga mala in srednja podjetja uporabljajo kot izhodišče.