Eksterne aktører blir databehandlere for UiA når driften av elektroniske systemer eller tjenester innebærer at de får tilgang til personopplysninger som UiA er behandlingsansvarlig for.
Som behandlingsansvarlig er UiA pliktig til å sørge for at det bare brukes databehandlere som gir tilstrekkelige garantier for at de vil gjennomføre egnede tekniske og organisatoriske tiltak som sikrer at behandlingen oppfyller kravene i personvernforordningen når de behandler opplysninger om ansatte, studenter, gjesteforskere, gjester eller respondenter/informanter i forskningsprosjekter.
Dette skal først skje ved at det gjennomføres risikovurderinger av informasjonssikkerheten i de eksterne systemene eller tjenestene som UiA vurderer å anvende. Dersom risikovurderingen viser at informasjonssikkerheten er tilfredsstillende, skal det inngås skriftlige avtaler (databehandleravtaler) med databehandlerne.
Databehandleravtalene skal regulere:
- Gjenstanden for og varigheten av behandlingen
- Behandlingens art og formål
- Typen personopplysninger og kategorier av registrerte
- Den behandlingsansvarliges rettigheter og plikter
- Hva databehandlerne kan gjøre med personopplysninger som UiA er behandlingsansvarlig for
- Hvordan personopplysningene skal sikres mot uautorisert tilgang, endring, sletting, tap eller skade
Etter at systemer eller tjenester som driftes av eksterne databehandlere er tatt i bruk, er UiA pliktig til å kontrollere at de overholder vilkårene i inngåtte databehandleravtaler. Dette skjer blant annet ved at UiA får tilgang til og gjennomgår databehandlernes egne revisjoner av informasjonssikkerheten i aktuelle systemer eller tjenester.
Se mal for databehandleravtaler.
I tillegg til å anvende databehandlere, er UiA selv databehandler. UiA drifter for eksempel datatjenester for administrasjon og forskning som benyttes av andre institusjoner. UiA har rutiner og retningslinjer som ivaretar de personvernforpliktelser som dette innebærer.