Databehandleraftale whistleblower

Dette er en databehandleraftale mellem revisorvirksomhed og en virksomhed som varetager revisorvirksomhedens whistleblowerordning. Det kan være ordning efter både revisorloven og efter hvidvaskloven. Datatilsynet skriver i sin vejledning om databehandlere, at advokater som håndterer whistleblowerordningen, i denne henseende er databehandler, hvorfor vi har udarbejdet standard til det.

Datatilsynet skriver: "Eksempel 15: Advokatfirmaet, som administrerer en whistleblowerordning. Virksomheden X er ved lov pålagt at oprette en whistleblowerordning, hvor medarbejderne kan  foretage anonyme indberetninger af ulovlige forhold mv. Advokatfirma Y tilbyder at administrere virksomhedens whistleblowerordning ved at stille et  system til rådighed, hvori medarbejderne kan foretage indberetninger. Advokatfirmet vil herefter modtage, opbevare og eventuelt videresende indberetningerne efter instruks fra virksomheden. Aftalen m ellem parterne vedrører derfor behandling af personoplysninger. Virksomheden X er som følge af den lovbestemte whistleblowerordning forpligtet til at foretage behandling af personoplysninger. Virksomheden er derfor afhængig af, at advokatfirmaet Y behandler oplysningerne på en bestemt måde (efter instruks), så virksomheden lever op til sine lovmæssige forpligtelser. Advokatfirmaet Y vil i denne situation også umiddelbart kunne følge en instruks fra virksomheden, fordi behandlingen er mere ekspeditionspræget, lovbunden og ikke udtryk for klassisk advokatvirksomhed.  I dette tilfælde vil overvægten af argumenter pege i retning af at anse advokatfirmaet Y for databehandler for de oplysninger, som behandles i forbindelse med firmaets administration af whistleblowerordningen for virksomheden X"

Vi henviser i øvrigt til Datatilsynets standardformular til skriftlige databehandleraftaler.

Feb 2022: Opdateret til Datatilsynets gældende standard.