Personuppgifts­biträdes­avtal

I avtalet ska det framgå att

• personuppgiftsbiträdet endast får behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvariga (även när det gäller överföringar till ett tredjeland eller en internationell organisation) om inte behandlingen är nödvändig enligt EU-rätten eller medlemsstaternas nationella rätt.

Bestämmelsen innebär att det är den personuppgiftsansvariga, och inte personuppgiftsbiträdet, som bestämmer vad som sker med personuppgifterna (ändamål och medel). Om ett personuppgiftsbiträde agerar utanför den personuppgiftsansvarigas skriftliga instruktioner genom att bestämma ändamål och medel kan biträdet åläggas samma ansvar som en personuppgiftsansvarig.

Instruktionerna från den personuppgiftsansvariga kan följa direkt av avtalet eller ges skriftligen på annat sätt, exempelvis via e-post. Instruktionerna måste dock kunna sparas så att de finns dokumenterade.

I avtalet ska det framgå att

• personuppgiftsbiträdet säkerställer att alla som behandlar personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt. Detta avtalsvillkor ska täcka biträdets anställda, konsulter och all annan personal som under biträdets överinseende behandlar uppgifterna.

I avtalet ska det framgå att

• personuppgiftsbiträdet ska vidta alla åtgärder som krävs enligt artikel 32.

Både personuppgiftsansvarig och personuppgiftsbiträde ska vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att säkerställa ett tillräckligt skydd för personuppgifterna.

I avtalet ska det framgå att

• personuppgiftsbiträdet inte får anlita andra biträden (underbiträden) utan ett särskilt eller allmänt skriftligt förhandstillstånd från den personuppgiftsansvariga.
• om ett underbiträde anlitas efter ett allmänt förhandstillstånd ska personuppgiftsbiträdet informera den personuppgiftsansvariga om alla planerade förändringar när det gäller underbiträdet så att den personuppgiftsansvariga kan invända mot förändringarna.
• om personuppgiftsbiträdet anlitar ett underbiträde ska underbiträdet ha samma skyldigheter i fråga om dataskydd som personuppgiftsbiträdet enligt artikel 28.3. Underbiträdet ska bland annat ge tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska säkerhetsåtgärder så att behandlingen uppfyller kraven i GDPR.
• personuppgiftsbiträdet ansvarar för att underbiträdet uppfyller sina skyldigheter i fråga om dataskydd.

Avtalet mellan personuppgiftsbiträdet och underbiträdet behöver inte vara identiskt med avtalet mellan den personuppgiftsansvariga och personuppgiftsbiträdet. Däremot måste det tecknas ett avtal som gör att underbiträdet omfattas av samma skyldigheter som personuppgiftsbiträdet har gentemot den personuppgiftsansvariga. Om underbiträdet inte fullgör sina skyldigheter kan personuppgiftsbiträdet enligt förordningen bli fullt ansvarig gentemot den personuppgiftsansvariga.

I avtalet ska det framgå att

• personuppgiftsbiträdet, genom att vidta lämpliga tekniska och organisatoriska åtgärder, ska hjälpa den personuppgiftsansvariga att fullgöra sina skyldigheter gentemot de registrerade. Denna bestämmelse hänvisar till kapitel III i GDPR (art 12 - 23) som reglerar den personuppgiftsansvarigas skyldigheter gentemot de registrerade, till exempel att underlätta för dem att utöva sina rättigheter och tillgodose deras rättigheter efter begäran.

Ett exempel på åtgärd är att personuppgiftsbiträdet utformar sina system så att de kan förse den personuppgiftsansvariga med relevant information när en registrerad begär till exempel registerutdrag, rättelse eller radering.

I avtalet ska det framgå att

• personuppgiftsbiträdet ska bistå den personuppgiftsansvariga med att se till att skyldigheterna enligt artiklarna 32 – 36 fullgörs.

Det omfattar att hjälpa den personuppgiftsansvariga att

• skydda personuppgifter
• anmäla en personuppgiftsincident till tillsynsmyndighet
• informera de registrerade om en personuppgiftsincident
• göra en konsekvensbedömning när så krävs
• samråda med tillsynsmyndighet om konsekvensbedömningen visar att behandlingen skulle leda till en hög risk för de registrerades fri- och rättigheter som inte kan åtgärdas.

Det är bra om avtalet så tydligt som möjligt anger hur personuppgiftsbiträdet kan bistå den personuppgiftsansvariga i att fullgöra sina skyldigheter.

Ett exempel är att personuppgiftsbiträdet tar till tekniska åtgärder för att stärka sin förmåga att upptäcka personuppgiftsincidenter och tar till organisatoriska åtgärder som att utforma en tydlig rapporteringsrutin vid händelse av en personuppgiftsincident.

I avtalet ska det framgå att

• personuppgiftsbiträdet ska radera eller återlämna personuppgifter till den personuppgiftsansvariga
• personuppgiftsbiträdet ska radera befintliga kopior av personuppgifter om inte lagring av personuppgifter krävs enligt EU-rätten eller nationell rätt.

Syftet med denna bestämmelse är att säkerställa fortsatt skydd för personuppgifter även efter att avtalsförhållandet upphört. Det är därför i slutänden upp till den personuppgiftsansvariga att besluta vad som sker med de personuppgifter som biträdet behandlat.

Det är viktigt att tänka på att gallringen av personuppgifter sker på ett säkert sätt och att bestämmelserna i artikel 32 i GDPR följs.

Det kan finnas tillfällen då det i praktiken är svårt att direkt efter avtalstidens slut radera personuppgifter, exempelvis när det gäller personuppgifter i stora arkiv.

I avtalet ska det framgå att

• personuppgiftsbiträdet ska ge den personuppgiftsansvariga tillgång till all information som krävs för att visa att de skyldigheter som framgår av artikel 28 har fullgjorts.
• personuppgiftsbiträdet ska möjliggöra och bidra till granskningar och inspektioner som görs av den personuppgiftsansvariga eller av annan revisor som utsetts av den personuppgiftsansvariga.

Biträdet ska alltså kunna visa för den personuppgiftsansvariga att alla bestämmelserna i artikel 28 följts. Biträdesavtalet i sig behöver inte ange att biträdet ska föra register över sina behandlingar – men det kan vara ett av flera sätt som visar att reglerna följts. Biträdet måste ändå föra register över sina behandlingar enligt artikel 30.2.

Föra register över behandling