Personuppgiftsbiträdesavtal: så fungerar avtalet

Vad är ett personuppgiftsbiträdesavtal?

Ett personuppgiftsbiträdesavtal, eller PUB-avtal, är ett juridiskt bindande avtal mellan en personuppgiftsansvarig och ett personuppgiftsbiträde. Avtalet reglerar hur personuppgifter får hanteras och säkerställer att biträdet behandlar uppgifterna enligt dataskyddsförordningen GDPR. PUB-avtalet definierar syftet och medlen för behandlingen, samt ansvar och skyldigheter för båda parter.

Den personuppgiftsansvariga är den som bestämmer varför och hur personuppgifter behandlas. Personuppgiftsbiträdet är den som behandlar personuppgifter på uppdrag av den personuppgiftsansvariga. Biträdet är alltid någon utanför den egna organisationen — till exempel en molntjänstleverantör, ett it-supportföretag eller en leverantör av löne- eller lagringstjänster.

Ett personuppgiftsbiträdesavtal behövs alltså när en extern part hanterar personuppgifter för den personuppgiftsansvarigas räkning. Regler om när ett personuppgiftsbiträde får användas och när avtal krävs finns i artikel 28 i dataskyddsförordningen (GDPR).

När behövs ett personuppgiftsbiträdesavtal?

Ett PUB-avtal krävs så fort den personuppgiftsansvariga anlitar en extern part för att behandla personuppgifter. Det kan handla om molntjänster som lagrar kunduppgifter, externa it-leverantörer som underhåller system, löneleverantörer som hanterar personuppgifter om anställda, eller marknadsbyråer som skickar reklam på uppdrag av ett företag.

Gemensamt för alla dessa situationer är att personuppgiftsbiträdet behandlar uppgifterna på den personuppgiftsansvarigas instruktioner. Biträdet får inte själv bestämma ändamål och medel för behandlingen. Gör biträdet det — behandlar uppgifterna för egna syften — kan det i stället anses vara en personuppgiftsansvarig och få samma ansvar.

Några vanliga exempel när ett personuppgiftsbiträdesavtal behövs:

• en molntjänstleverantör som lagrar och analyserar personuppgifter åt ett företag,
• en extern it-support som får tillgång till system med personuppgifter,
• ett löne- eller redovisningssystem som hanterar personuppgifter om anställda,
• en marknadsbyrå som hanterar kundlistor och skickar utskick.

I varje fall ska det finnas ett skriftligt avtal som reglerar behandlingen.

Vad måste ett personuppgiftsbiträdesavtal innehålla?

Enligt artikel 28.3 i GDPR ska ett personuppgiftsbiträdesavtal innehålla vissa minimikrav. Avtalet ska också ange föremålet för behandlingen, behandlingens varaktighet, behandlingens art och ändamål, vilka typer av personuppgifter som behandlas och vilka kategorier av registrerade som berörs, samt den personuppgiftsansvarigas rättigheter och skyldigheter.

Det är viktigt att den personuppgiftsansvariga tydligt klargör vilka personuppgiftsbehandlingar som ska läggas över på biträdet. Personuppgiftsansvarig och personuppgiftsbiträde kan alltid komplettera minimikraven med ytterligare avtalsvillkor.

Följande åtta minimikrav framgår av artikel 28.3 i GDPR:

1. Behandling endast enligt dokumenterade instruktioner

Personuppgiftsbiträdet får endast behandla personuppgifter enligt dokumenterade instruktioner från den personuppgiftsansvariga. Det gäller även vid överföringar till ett tredjeland eller en internationell organisation, om inte EU-rätten eller nationell rätt kräver något annat. Instruktionerna kan följa direkt av avtalet eller ges skriftligen på annat sätt, till exempel via e-post, men de måste kunna sparas och dokumenteras.

2. Konfidentialitet eller lagstadgad tystnadsplikt

Avtalet ska säkerställa att alla som behandlar personuppgifterna hos biträdet har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Det gäller biträdets anställda, konsulter och annan personal som under biträdets överinseende behandlar uppgifterna.

3. Lämpliga säkerhetsåtgärder

Personuppgiftsbiträdet ska vidta alla tekniska och organisatoriska åtgärder som krävs enligt artikel 32 i GDPR. Både den personuppgiftsansvariga och personuppgiftsbiträdet ansvarar för att det finns tillräckligt skydd för personuppgifterna.

4. Villkor för anlitande av underbiträden

Personuppgiftsbiträdet får inte anlita underbiträden utan ett särskilt eller allmänt skriftligt förhandstillstånd från den personuppgiftsansvariga. Vid allmänt tillstånd ska biträdet informera om planerade förändringar så att den personuppgiftsansvariga kan invända. Underbiträdet ska ha samma dataskyddsskyldigheter som personuppgiftsbiträdet, och personuppgiftsbiträdet ansvarar för att underbiträdet uppfyller sina skyldigheter.

5. Skyldighet att hjälpa till med de registrerades rättigheter

Personuppgiftsbiträdet ska, genom lämpliga tekniska och organisatoriska åtgärder, hjälpa den personuppgiftsansvariga att fullgöra sina skyldigheter gentemot de registrerade. Det handlar om kapitel III i GDPR (artikel 12–23), till exempel registerutdrag, rättelse, radering och information.

6. Bistå den personuppgiftsansvariga enligt artiklarna 32–36

Avtalet ska reglera att personuppgiftsbiträdet biträder den personuppgiftsansvariga med skyldigheterna enligt artiklarna 32–36: skydda personuppgifter, anmäla personuppgiftsincidenter till tillsynsmyndighet, informera de registrerade om incidenter, göra konsekvensbedömningar och samråda med tillsynsmyndighet vid hög risk.

7. Hantering av personuppgifter när avtalet upphör

När avtalet upphör ska personuppgiftsbiträdet radera eller återlämna personuppgifterna till den personuppgiftsansvariga och radera befintliga kopior, om inte lagring krävs enligt EU-rätten eller nationell rätt. Gallringen ska ske på ett säkert sätt och följa artikel 32.

8. Granskning och inspektioner

Personuppgiftsbiträdet ska ge den personuppgiftsansvariga tillgång till all information som krävs för att visa att skyldigheterna enligt artikel 28 är uppfyllda. Biträdet ska möjliggöra och bidra till granskningar och inspektioner som görs av den personuppgiftsansvariga eller en revisor som den personuppgiftsansvariga utser.

Underbiträden och standardavtalsklausuler

Om personuppgiftsbiträdet anlitar ett underbiträde måste det finnas ett avtal mellan dem som ger underbiträdet samma skyldigheter som personuppgiftsbiträdet har gentemot den personuppgiftsansvariga. Om underbiträdet inte fullgör sina skyldigheter kan personuppgiftsbiträdet bli fullt ansvarig gentemot den personuppgiftsansvariga.

EU-kommissionen har tagit fram standardavtalsklausuler för personuppgiftsbiträdesavtal. De kan vara ett enkelt och användbart verktyg, men det är inte obligatoriskt att använda dem. Varje part kan i stället avtala om villkoren själva, så länge minimikraven i artikel 28.3 är uppfyllda.

Vad händer om det inte finns ett personuppgiftsbiträdesavtal?

Utan ett personuppgiftsbiträdesavtal finns inga tydliga regler för hur personuppgifterna får behandlas, vem som ansvarar för vad eller hur säkerheten ska säkerställas. Det gör det svårare för den personuppgiftsansvariga att visa att den följer GDPR — ansvarsskyldigheten. Om en personuppgiftsincident inträffar kan avsaknaden av avtal bli en allvarlig brist i tillsynen från IMY.