Ny databehandleravtale tilpasset den nye personopplysningsloven

Om oppdatert avtale og hvordan håndtere eksisterende avtaleforhold med kundene.

I sommer ble ny personopplysningslov iverksatt. Endringene er i hovedsak at personer får utvidete rettigheter og bedrifter mer plikter. Likevel er hoveddelen av ny personopplysningslov en videreføring av tidligere rett.

NY MAL OG BRUKSANVISNING I KS KOMPLETT

I forbindelse med ikrafttredelse av personopplysningsloven er malen til databehandleravtalen i KS Komplett helt omskrevet for å tilpasses ny lovtekst og nye krav til avtalens innhold.

DATABEHANDLERAVTALEN

Et sentralt dokument mellom kunden (behandlingsansvarlig) og regnskapsfører (databehandler) er en databehandleravtale. Databehandleravtalen skal regulere forholdet hvor behandlingsansvarlig setter ut hele eller deler av behandlingen av personopplysninger til andre, eksempelvis til en regnskapsfører.

Gjennom databehandleravtalen vil regnskapsfører forsikre kunden om at personopplysninger blir behandlet etter lovens krav med tilstrekkelige tekniske og organisatoriske tiltak. Videre regulerer avtalen forholdet til utlevering av data, sletting, varsling mv.

Aktivitetene videre er avhengig av om du har en databehandleravtale eller ikke med kundene. Vi ser på alternativene ved de ulike situasjonene:

Regnskapsfører har allerede en databehandleravtale med kunde etter tidligere mal fra Regnskap Norge

Følgende alternativer er mulig:

1. Avtalen kan videreføres til neste avtalerevisjon med kunden. Det er vår vurdering at tidligere mal fra KS Komplett 2018-1 i hovedtrekk er dekkende for kravene i det nye lovverket.
2. Regnskapsfører kan velge å inngå en helt ny oppdragsavtale med den nye databehandleravtalen som bilag til hovedavtalen.
3. Regnskapsfører kan inngå en ny databehandleravtale uten å oppdatere oppdragsavtalen. Begge parter må signere dette dokumentet.

Regnskapsfører har ikke en databehandleravtale med kunde

Følgende alternativer er mulig:

1. Regnskapsfører kan velge å inngå en helt ny oppdragsavtale med den nye databehandleravtalen som bilag til hovedavtalen
2. Regnskapsfører kan inngå en ny databehandleravtale uten å oppdatere oppdragsavtalen. Begge parter må signere dette dokumentet.

MANGLENDE DATABEHANDLERAVTALE ER ALVORLIG BRUDD PÅ LOVEN

Datatilsynet har uttalt at manglende databehandleravtale er å anse som et alvorlig brudd på loven. Det anbefales på det sterkeste å inngå databehandleravtale med kundene snarlig hvis disse ikke finnes.

Hva må du gjøre med avtaledokumentet?

1. Fylle ut henvisningene øverst i dokumentet.
2. Vurdere tidsfristen for varsling i punkt 4 på to uker.
3. Fjerne signaturfelter hvis avtalen er bilag til hoveddokumentet til oppdragsavtalen.
4. Komplettere listen over personopplysninger som behandles. Opplysninger som ikke behandles kan slettes.
5. Komplettere kategorier av registrerte i vedlegg 1 i dokumentet.
6. Fylle ut listen over underleverandører til regnskapsføreren som behandler personopplysninger. Regnskapsfører må inngå databehandleravtale med disse.

ENDRINGER I AVTALEN

Regnskapsfører kan påregne at kunder vil ha endringer i avtalen. Dette er greit da avtalen dekker lovens minimumskrav, og øvrige avtaleklausuler kan inngås så lenge de ikke reduserer de registrertes rettigheter.