Personuppgiftsbiträdesavtal – vad måste det innehålla enligt GDPR?

När behövs ett personuppgiftsbiträdesavtal?

Avtalet behövs när det finns en personuppgiftsansvarig och ett personuppgiftsbiträde. Den personuppgiftsansvarige bestämmer varför personuppgifterna behandlas och, i huvudsak, hur. Biträdet behandlar uppgifterna för den ansvariges räkning och enligt dennes instruktioner.

• Lönebyrå som hanterar de anställdas löneuppgifter – biträde.
• Molntjänst, CRM- eller affärssystem där ni lagrar kund- eller personaluppgifter – biträde.
• IT-konsult med åtkomst till era system och data för support eller drift – normalt biträde.
• Revisor eller advokat som granskar uppgifter i sitt eget uppdrag och under eget yrkesansvar – ofta självständigt personuppgiftsansvarig, inte biträde.
• Bank eller transportföretag som använder uppgifterna för att utföra sin egen tjänst – självständigt personuppgiftsansvarig.

Det är den faktiska behandlingen som avgör, inte vad avtalet kallas. Ett biträde som börjar använda uppgifterna för egna ändamål, till exempel för att utveckla en egen produkt, ska enligt artikel 28.10 anses vara personuppgiftsansvarigt för den behandlingen. Kom också ihåg att ditt eget företag kan vara biträde: säljer ni en SaaS-tjänst där kunderna lägger in personuppgifter är det ni som ska erbjuda ett biträdesavtal.

De obligatoriska punkterna i artikel 28.3

Avtalet ska enligt artikel 28.3 beskriva behandlingens föremål och varaktighet, art och ändamål, typen av personuppgifter och kategorierna av registrerade, samt den personuppgiftsansvariges skyldigheter och rättigheter. Därutöver ska biträdet åta sig följande:

1. Dokumenterade instruktioner (a) – biträdet får bara behandla uppgifterna enligt den ansvariges dokumenterade instruktioner, även när det gäller överföring till tredjeland, om inte unionsrätten eller nationell rätt kräver något annat.
2. Tystnadsplikt (b) – de personer som får behandla uppgifterna ska ha åtagit sig konfidentialitet eller omfattas av lagstadgad tystnadsplikt.
3. Säkerhet (c) – biträdet ska vidta de säkerhetsåtgärder som krävs enligt artikel 32.
4. Underbiträden (d) – biträdet ska följa villkoren för att anlita underbiträden i artikel 28.2 och 28.4.
5. De registrerades rättigheter (e) – biträdet ska, så långt det är möjligt, hjälpa den ansvarige att besvara begäranden om till exempel tillgång, rättelse och radering.
6. Bistånd med säkerhet, incidenter och konsekvensbedömningar (f) – biträdet ska hjälpa den ansvarige att fullgöra skyldigheterna i artiklarna 32–36.
7. Radering eller återlämnande (g) – när tjänsten upphör ska uppgifterna raderas eller lämnas tillbaka, enligt den ansvariges val, och befintliga kopior raderas om inte lagring krävs enligt lag.
8. Insyn och revision (h) – biträdet ska ge tillgång till den information som behövs för att visa att skyldigheterna följs, och möjliggöra och bidra till granskningar, inklusive inspektioner.

Biträdet ska dessutom genast informera den personuppgiftsansvarige om det anser att en instruktion strider mot dataskyddsreglerna. Avtalet ska vara skriftligt, men enligt artikel 28.9 räcker elektronisk form – ett digitalt signerat eller digitalt godkänt avtal fungerar.

Utöver lagkraven: det avtalet också bör reglera

Artikel 28 anger ett minimum. Flera praktiska frågor lämnar förordningen åt parterna, och lämnas de oreglerade uppstår ofta diskussioner just när något har hänt.

• Tidsfrist för incidentrapportering – biträdet ska enligt artikel 33.2 underrätta utan onödigt dröjsmål. Eftersom den ansvarige som huvudregel ska anmäla till IMY inom 72 timmar bör avtalet ange en kortare frist och vad underrättelsen ska innehålla.
• Kostnader för bistånd – får biträdet ta betalt för att hjälpa till med registrerades begäranden, revisioner och konsekvensbedömningar?
• Revisionens former – hur ofta, med vilket varsel och om en oberoende tredjepartsrapport kan ersätta en egen granskning.
• Ansvarsfördelning – hur kostnader fördelas mellan parterna om något går fel.
• Löptid och avslut – koppling till huvudavtalet, tidsfrist och format för återlämnande och hur säkerhetskopior hanteras.

Biträdesavtalet hänger ihop med huvudavtalet. Levererar ni mjukvara som tjänst regleras själva tjänsten i ett licensavtal eller i era allmänna villkor, och biträdesavtalet läggs som bilaga. Läs mer om klausulerna som avgör ett SaaS-avtal.

Underbiträden – kedjan av leverantörer

De flesta leverantörer använder andra leverantörer. En SaaS-tjänst körs ofta på en extern molnplattform och skickar e-post via en tredje tjänst. Enligt artikel 28.2 får biträdet inte anlita ett underbiträde utan den personuppgiftsansvariges skriftliga förhandstillstånd, som kan vara särskilt eller allmänt.

• Särskilt tillstånd – varje underbiträde godkänns för sig. Ger mest kontroll men blir tungrott.
• Allmänt tillstånd – biträdet får anlita underbiträden men ska informera om planerade tillägg eller byten, så att den ansvarige kan invända. Det vanliga i standardavtal.

Enligt artikel 28.4 ska underbiträdet bindas av samma dataskyddsskyldigheter som biträdet, och biträdet ansvarar fullt ut gentemot den ansvarige om underbiträdet brister. Avtalet bör innehålla en aktuell lista över underbiträden, hur ändringar meddelas och vad en invändning leder till – vanligtvis en rätt att säga upp avtalet.

Överföring till tredjeland

Personuppgifter som förs till ett land utanför EU/EES omfattas av reglerna i kapitel V (artiklarna 44–49). En överföring kan ske även när servrarna står i Europa, till exempel om supportpersonal i ett annat land kan komma åt uppgifterna.

• Beslut om adekvat skyddsnivå (artikel 45) – kommissionen har beslutat att vissa länder har en tillräcklig skyddsnivå. För USA gäller det företag som är certifierade enligt EU–US Data Privacy Framework.
• Lämpliga skyddsåtgärder (artikel 46) – oftast kommissionens standardavtalsklausuler för överföring. Då behöver ni också bedöma om lagstiftningen i mottagarlandet gör att skyddet fungerar i praktiken, och vid behov vidta kompletterande åtgärder.

Biträdesavtalet bör ange var uppgifterna lagras och behandlas, vilken överföringsgrund som används och att biträdet inte får föra över uppgifter till tredjeland utan instruktion. Observera att kommissionens standardavtalsklausuler för överföring och de standardavtalsklausuler som finns för själva biträdesavtalet enligt artikel 28.7 är två olika dokument.

Vanliga misstag

1. Inget avtal alls – särskilt med små leverantörer, konsulter och verktyg som köpts in med kreditkort av en enskild avdelning.
2. Fel roller – ett biträdesavtal tecknas med någon som i själva verket är självständigt personuppgiftsansvarig, eller tvärtom.
3. Tomma bilagor – avtalstexten finns men beskrivningen av vilka uppgifter, vilka registrerade och vilka ändamål saknas eller är generisk.
4. Leverantörens standardavtal godkänns ogranskat – det kan sakna punkter, ge leverantören rätt att använda data för egna syften eller ha en lång frist för incidentrapportering.
5. Okontrollerade underbiträden och tredjelandsöverföringar – ingen vet vilka leverantörer som finns i nästa led eller var de finns.
6. Inget om avslut – när tjänsten sägs upp är det oklart om, när och hur uppgifterna raderas eller lämnas tillbaka.

En enkel åtgärd är att föra en förteckning över alla leverantörer som hanterar personuppgifter och notera för var och en om ett biträdesavtal finns och när det senast sågs över. Den förteckningen hjälper också till när ni ska upprätta registret över behandlingar enligt artikel 30.

Så kommer du igång

Börja med att kartlägga vilka leverantörer som behandlar personuppgifter åt er, vilken roll de har och vilka uppgifter det gäller. För stora leverantörer finns ofta ett färdigt avtal som ska granskas mot artikel 28.3. För mindre leverantörer, eller när ni själva är biträde åt era kunder, kan ni ta fram ett eget personuppgiftsbiträdesavtal anpassat efter behandlingen. Ingår leveransen i ett större uppdrag regleras det kommersiella i ett tjänsteavtal eller konsultavtal, och ett sekretessavtal skyddar affärsinformation som inte är personuppgifter.