Klausulbibliotek
Klausul om Personvern, forklart
En personvernklausul beskriver hvordan personopplysninger behandles, og der en av partene er en databehandler etter UK GDPR, krever Article 28(3) navngitte vilkår for databehandlere.
Sist oppdatert 28. oktober 2026
Hva gjør klausulen om personvern?
Når en leverandør behandler personopplysninger for en kunde som er behandlingsansvarlig, sier UK GDPR Article 28 at behandlingen må reguleres av en kontrakt. Article 28(3) lister opp vilkårene for databehandleren som kontrakten må inneholde. Den samme UK GDPR gjelder i Skottland. Amerikanske delstaters personvernlover er et annet regime. Vi legger disse vilkårene på én felles side.
Hva må en databehandleravtale etter Article 28 inneholde?
Kontrakten må være bindende og angi gjenstand, varighet, art og formål for behandlingen, typene personopplysninger og registrerte, og den behandlingsansvarliges rettigheter. Article 28(3) krever deretter databehandlervilkårene i (a) til (h): dokumenterte instrukser, konfidensialitet, sikkerhet, underdatabehandlere, bistand, sletting eller retur, og revisjon.
Når er en part databehandler i stedet for behandlingsansvarlig?
En behandlingsansvarlig bestemmer formålene med og midlene for behandlingen. En databehandler behandler på vegne av den behandlingsansvarlige. Et studio som lagrer en kundes kundeliste for å sende kundens e-poster, er vanligvis databehandler. Et studio som bygger sin egen markedsføringsliste, er behandlingsansvarlig for den listen. Navngi rollen for hvert datasett slik at Article 28 bare gjelder der den skal.
Kan databehandleren oppnevne underdatabehandlere?
Bare med den behandlingsansvarliges forutgående spesifikke eller generelle skriftlige godkjenning. Ved en generell godkjenning må databehandleren varsle den behandlingsansvarlige om tiltenkte tilføyelser eller utskiftinger slik at den behandlingsansvarlige kan protestere. De samme personvernforpliktelsene må videreføres nedover. Den opprinnelige databehandleren er fortsatt fullt ansvarlig overfor den behandlingsansvarlige for underdatabehandleren. Skriv godkjenningsmetoden i klausulen.
Hva skjer med dataene når arbeidet er over?
Article 28(3)(g) sier at databehandleren, etter den behandlingsansvarliges valg, sletter eller returnerer personopplysningene etter at tjenestene avsluttes, og sletter kopier med mindre nasjonal lov krever lagring. Kombiner det med konfidensialitet og en linje om retur eller destruksjon for konfidensielle filer som ikke er personopplysninger. Oppgi hvor lenge logger kan oppbevares hvis en lov krever det.
Eksempelformulering
Eksempel · vår egen utforming
Der Leverandøren behandler personopplysninger for Kunden som databehandler, skal Leverandøren: behandle disse opplysningene bare etter Kundens dokumenterte instrukser; sørge for at personer som er autorisert til å behandle dem er bundet av taushetsplikt; gjennomføre sikkerhetstiltakene som kreves etter UK GDPR Article 32; ikke oppnevne en underdatabehandler uten Kundens forutgående skriftlige godkjenning; bistå Kunden med forespørsler fra registrerte og med Articles 32 to 36; etter Kundens valg slette eller returnere opplysningene ved tjenestenes slutt, med mindre nasjonal lov krever lagring; og stille til rådighet den informasjonen som trengs for å påvise etterlevelse og tillate revisjoner.
På klarspråk
Hvis leverandøren håndterer personopplysninger for kunden, gjør den bare det kunden har dokumentert, holder dem konfidensielle, ivaretar sikkerheten, og tar ikke inn en annen databehandler uten skriftlig klarsignal. Den hjelper til med individuelle rettigheter og sikkerhetsplikter, sletter eller returnerer deretter dataene når jobben er over med mindre loven sier at den må beholde en kopi, og den lar kunden kontrollere.
Hva bør du se opp for?
| Punkt | Se opp for | Be om |
|---|---|---|
| Roller | Et databehandlervedlegg skrudd på en avtale der begge parter er behandlingsansvarlige. | En setning som navngir rollen for hvert datasett. |
| Instrukser | "Behandle etter behov for tjenestene" uten dokumenterte instrukser. | Et vedlegg med gjenstand, varighet, typer data og registrerte. |
| Underdatabehandlere | Frie hender til å oppnevne hvem som helst, eller taushet. | Forutgående skriftlig godkjenning, videreføring nedover og vedvarende ansvar. |
| Slutten på jobben | Ingen linje om sletting eller retur. | Den behandlingsansvarliges valg, med et unntak for lovlig oppbevaring. |
| Tak | En ubegrenset dataskadesløsholdelse på et lite honorar, eller et tak som sluker et brudd. | En navngitt plassering mot ansvarstaket og skadesløsholdelsen. |
Hvilke kontrakter inneholder den?
Lex tar med denne klausulen blant annet i:
- Tjenesteavtale (rammeavtale for tjenesterEn rammeavtale for tjenester (MSA) setter de juridiske vilkårene for et løpende forhold, der hvert prosjekt deretter avtales i en egen arbeidsbeskrivelse.Mer i ordlisten)
- Avtale om nettstedutvikling
- Konsulentavtale
Hva sier loven?
Behandling hos en databehandler må reguleres av en kontrakt som er bindende for databehandleren og fastsetter gjenstanden for og varigheten av behandlingen, behandlingens art og formål, typen personopplysninger og kategoriene av registrerte, og den behandlingsansvarliges plikter og rettigheter, inkludert databehandlervilkårene som er listet i artikkel 28(3)(a)–(h).
Kilde: UK GDPR, Article 28(3)Kontrollert 28. oktober 2026Venter på juridisk gjennomgang
Lag utkast til rammeavtale for tjenester med denne klausulen
Gratis for den andre partenLex utarbeider den på enkelt språk ved siden av den juridiske ordlyden. Del én lenke; begge parter blir enige og signerer.
Vanlige spørsmål
Hva betyr en personvernklausul?
Den beskriver hvordan personopplysninger behandles under kontrakten. Der en part behandler personopplysninger for den andre som databehandler etter UK GDPR, krever Article 28 at behandlingen reguleres av en kontrakt med navngitte vilkår for databehandlere.
Hva må en databehandleravtale etter UK GDPR Article 28 inneholde?
Gjenstand, varighet, art og formål for behandlingen, typene data og registrerte, og vilkårene for databehandleren i Article 28(3)(a)–(h), inkludert dokumenterte instrukser, konfidensialitet, sikkerhet, underdatabehandlere, bistand, sletting eller retur, og revisjon.
Når er en leverandør databehandler?
Når den behandler personopplysninger på kundens vegne i stedet for å bestemme formål og midler selv. Klausulen bør navngi rollen for hvert datasett. Article 28 gjelder for databehandlerforhold.
Kan en databehandler bruke underdatabehandlere?
Bare med den behandlingsansvarliges forutgående spesifikke eller generelle skriftlige godkjenning. De samme forpliktelsene må videreføres nedover, og den opprinnelige databehandleren er fortsatt fullt ansvarlig overfor den behandlingsansvarlige for underdatabehandleren.
Hva skjer med personopplysninger når kontrakten opphører?
Etter den behandlingsansvarliges valg sletter eller returnerer databehandleren dem og sletter kopier, med mindre nasjonal lov krever lagring. Skriv det valget inn i klausulen.
Kilder
- UK GDPR, Article 28(3)Kontrollert 28. oktober 2026Venter på juridisk gjennomgang
Relatert
Maler med denne klausulen
Andre klausuler
Den juridiske ordlyden gjelderSist gjennomgått 28. oktober 2026Venter på juridisk gjennomgang