Personuppgiftsbiträdesavtal (DPA)

Det skriftliga avtal som artikel 28 i GDPR kräver mellan en personuppgiftsansvarig och ett personuppgiftsbiträde. Avtalet ska bland annat fastställa behandlingens föremål och varaktighet, typen av uppgifter, personuppgiftsbiträdets skyldigheter, säkerhetskrav, regler för underbiträden samt bistånd vid personuppgiftsincidenter och registrerades begäranden. Utan ett giltigt personuppgiftsbiträdesavtal är det olagligt att låta en leverantör behandla personuppgifter för företagets räkning. Den danska tillsynsmyndigheten har publicerat en standardmall som många små och medelstora företag utgår från.