Personuppgiftsbiträdesavtal

Dataskyddsförordningen (GDPR) kräver att personuppgiftsansvariga tecknar personuppgiftsbiträdesavtal med externa parter som behandlar personuppgifter för deras räkning. Trots det förekommer att avtal innehåller brister – något som Integritetsskyddsmyndigheten (IMY) uppmärksammat i sin tillsyn.

Ett personuppgiftsbiträdesavtal ska enligt artikel 28 i GDPR bland annat reglera ändamål, instruktioner, säkerhetsåtgärder, underbiträden och behandlingsansvar efter avslutat uppdrag. IMY har i tillsynsärenden konstaterat att det helt saknas avtal, eller att avtalen inte uppfyller de grundläggande kraven. Sådana brister har lett till sanktionsavgifter.

Brister som återkommer i IMY:s tillsyn

Även när ett biträdesavtal finns på plats uppfyller det inte alltid GDPR:s minimikrav. Nedan är några vanliga brister i biträdesavtal:

• Syfte och instruktioner för behandlingen anges inte tydligt.
• Krav på informationssäkerhet är otydliga eller saknas helt.
• Underbiträden regleras inte, eller tillåts utan föregående godkännande.
• Det saknas instruktioner för hur personuppgifter ska hanteras efter avtalets slut.
• Incidentrapportering och ansvarsfördelning är inte reglerade.
• Biträdesvillkoren är inbakade i allmänna avtalsvillkor utan hänvisning till artikel 28 GDPR.

För att undvika brister krävs att varje personuppgiftsbiträdesavtal granskas specifikt utifrån GDPR:s krav. Det innebär att samtliga obligatoriska punkter enligt artikel 28 i dataskyddsförordningen måste regleras i avtalet. Det räcker inte med generella hänvisningar till andra dokument, allmänna villkor eller leverantörens egen policy.

Om avtalet är otydligt eller ofullständigt riskerar båda parter att agera i strid med dataskyddsförordningen. Det gäller särskilt om det inte framgår vem som ansvarar för vad, hur instruktioner ska dokumenteras, eller vilka krav som gäller vid användning av underleverantörer. I sådana fall kan tillsynsmyndigheten bedöma att parterna inte efterlever GDPR. Det är därför inte tillräckligt att ha ett avtal på plats – det måste också vara rätt utformat och efterlevas i praktiken.

Särskild uppmärksamhet bör ges åt hur avtalet reglerar:

• Syftet med behandlingen och biträdets instruktioner.
• Kraven på tekniska och organisatoriska säkerhetsåtgärder.
• Regler för underbiträden (inkl. förfarandet för godkännande).
• Vad som ska hända med personuppgifterna när behandlingen avslutas (exempelvis radering eller återlämnande av uppgifter).
• Rutiner för rapportering av personuppgiftsincidenter.

En rättsligt hållbar hantering kräver också att avtalet är dokumenterat, uppdaterat och aktivt följs upp. Det är den personuppgiftsansvarige som bär det yttersta ansvaret för att ett giltigt biträdesavtal finns på plats – och att behandlingen sker i enlighet med det.

På Morling Consulting hjälper våra GDPR-jurister organisationer att upprätta korrekta personuppgiftsbiträdesavtal eller att identifiera och åtgärda brister i befintliga avtal.