Databehandleravtale: sjekkliste før du signerer
Oppdatert 2026-07-30 · 6 min lesing
Når trengs DPA?
Behandler en leverandør personopplysninger på ditt oppdrag, kreves skriftlig databehandleravtale etter GDPR artikkel 28. Det gjelder skytjenester, fagsystemer, e-postleverandører, KI-verktøy og underleverandører av disse.
Minimumsinnhold
- Formål, varighet, art og omfang av behandlingen, og hvilke kategorier opplysninger og personer som omfattes
- At behandleren bare handler etter dokumenterte instrukser fra deg
- Taushetsplikt for personell med tilgang
- Tekniske og organisatoriske sikkerhetstiltak
- Regler for bruk av underleverandører, inkludert varsling og innsigelsesrett
- Bistand ved forespørsler fra de registrerte
- Varsling ved avvik, uten ugrunnet opphold
- Bistand ved DPIA og ved tilsyn
- Sletting eller tilbakelevering ved avtaleslutt
- Rett til revisjon og innsyn i dokumentasjon
Punktene som oftest mangler
Lagringssted og overføring. Krev konkret angivelse av region og hjemmel for eventuell overføring ut av EØS — ikke bare «kan behandles globalt».
KI-trening. Presiser skriftlig at dine data ikke brukes til å trene leverandørens modeller. Standardvilkår sier ofte det motsatte, eller ingenting.
Underleverandørliste. Krev en oppdatert liste og varslingsfrist ved endringer, med reell innsigelsesrett.
Avviksvarsling med frist. «Uten ugrunnet opphold» bør konkretiseres — du har selv 72 timer overfor Datatilsynet.
Sletting. Be om bekreftelse på faktisk sletting, inkludert sikkerhetskopier og loggdata, med angitt frist.
Loggtilgang. Uten tilgang til logger kan du ikke dokumentere menneskelig kontroll etter KI-forordningen.
Praktisk arbeidsflyt
- Registrer alle leverandører som behandler personopplysninger.
- Marker hvem som har signert DPA, og datér den.
- Gå gjennom avvikene mot listen over.
- Prioritér leverandører med sensitive data eller KI-funksjonalitet.
- Sett en årlig gjennomgang — underleverandørkjeder endrer seg.
Mangler DPA for en leverandør som behandler personopplysninger, er det et brudd i seg selv — uavhengig av om noe har gått galt.