Personuppgiftsbiträdesavtalet och underbiträden

Modul 9: Människor och regler · Lästid: 11 minuter

Lärandemål: Efter denna lektion kan du läsa och kontrollera ett personuppgiftsbiträdesavtal mot de punkter som GDPR kräver, och bedöma en lista över underbiträden.

Nyckelbegrepp: personuppgiftsbiträdesavtal (DPA), art. 28.3 i GDPR, skriftliga instruktioner, tystnadsplikt, säkerhetsåtgärder, underbiträde, allmänt eller specifikt tillstånd, rätt att invända, bistånd, återlämna eller radera, revision, överföring utanför EES, anmälningsfrist för personuppgiftsincident, standardavtalsklausuler för personuppgiftsbiträden

Varför ett personuppgiftsbiträdesavtal?

I lektion 1.2 såg du rollerna: Bakkerij De Korrel är personuppgiftsansvarig, molntjänsten är personuppgiftsbiträde. Artikel 28.3 i GDPR kräver att behandlingen som utförs av ett personuppgiftsbiträde regleras i ett avtal (eller en annan rättsakt) som är skriftligt. Elektroniskt går också bra. Det är personuppgiftsbiträdesavtalet, på engelska Data Processing Agreement (DPA) eller Data Processing Addendum.

Hos stora molntjänster skriver du inte under något eget dokument: avtalet ingår i de villkor du godkänner, eller du kryssar i en ruta i adminpanelen. Hos mindre leverantörer laddar du ibland ner ett dokument, fyller i dina uppgifter och skriver under. Oavsett hur det går till måste du som personuppgiftsansvarig kunna visa att det finns ett avtal och vad det innehåller.

Detta är en förklaring, inte juridisk rådgivning. Vid tveksamheter om dina egna avtal bör du rådfråga en jurist eller ditt dataskyddsombud.

Vad som enligt GDPR måste ingå

Artikel 28.3 räknar först upp de ämnen som avtalet måste beskriva: föremålet för och varaktigheten av behandlingen, dess art och syfte, typen av personuppgifter, kategorierna av registrerade, samt den personuppgiftsansvariges rättigheter och skyldigheter. Därefter följer åtta skyldigheter för personuppgiftsbiträdet (led a till h). Nedan i vanligt språk, med den fråga du bör ställa när du läser:

Europeiska kommissionen har också publicerat standardavtalsklausuler för personuppgiftsbiträden (genomförandebeslut (EU) 2021/915). De får du använda som avtal; de innehåller alla obligatoriska punkter. Många mindre leverantörer använder en egen mall, i Nederländerna ofta baserad på en branschorganisations modell.

Underbiträden: vilka finns bakom din leverantör?

Din molntjänst gör inte allt själv. Ett underbiträde är en part som biträdet anlitar och som kan komma åt dina uppgifter, till exempel:

• datacentret (om det inte tillhör leverantören själv);
• en leverantör av backuplagring;
• ett företag som filtrerar e-post för spam eller virus;
• en supportpart eller en utvecklare som kan se på distans;
• en AI-tjänst om leverantören erbjuder en AI-funktion.

Artikel 28.2 säger: ett personuppgiftsbiträde får inte anlita något underbiträde utan föregående specifikt eller allmänt skriftligt tillstånd från den personuppgiftsansvarige. Vid allmänt tillstånd måste biträdet informera dig om nya eller ersatta underbiträden, så att du kan invända. I praktiken fungerar det så här: leverantören publicerar en lista, meddelar ändringar (via e-post eller på en sida du kan följa) och du har en viss frist för att invända. Om du invänder och ingen lösning nås kan du ofta säga upp avtalet.

Enligt punkt 4 ska underbiträdet få samma skyldigheter, och biträdet förblir fullt ansvarigt gentemot dig.

Vad du bör vara extra uppmärksam på vid ett byte till en europeisk tjänst

Vid ett byte till en europeisk tjänst tittar du i listan över underbiträden framför allt på två saker:

1. Var finns underbiträdena? En europeisk leverantör som låter en amerikansk tjänst filtrera sin e-post, eller lagrar sina backuper hos ett amerikanskt moln, för ändå in dina uppgifter under CLOUD Act (lektion 1.3). Titta på både landet och moderbolaget för varje underbiträde.
2. Vad gör de? Ett domänregister som bara känner till ditt namn och din adress som domäninnehavare är något annat än en part som lagrar dina brevlådor.

Läs också artikeln om överföring. Ett bra europeiskt avtal anger att uppgifterna behandlas inom EU eller EES, och att överföring utanför detta område endast får ske med ditt föregående tillstånd. Står det "vi får behandla uppgifter globalt med lämpliga skyddsåtgärder", då vet du att överföring är möjlig.

Varningssignaler att se upp för

• Inget avtal tillgängligt för en tjänst avsedd för yrkesmässigt bruk: inget bra val.
• En föråldrad lista över underbiträden som inte stämmer med vad leverantören uppger på annat håll (till exempel ett annat datacenter): be om ett förtydligande.
• En anmälningsfrist för personuppgiftsincidenter som är så lång att du själv inte hinner uppfylla din 72 timmars-frist (art. 33). Många avtal anger 24 eller 48 timmar.
• Ansvar som är helt uteslutet. Det är vanligt till en viss grad, men det säger något om hur säker leverantören är på sig själv.
• Ingen reglering för avslutet: vad händer med dina uppgifter efter uppsägning, och får du en bekräftelse på radering?

Vem skriver under, och var sparar du avtalet?

Hos De Korrel skriver Sanne under som ägare. Hon sparar avtalet tillsammans med registret över behandling (lektion 9.3), med datum och version. Om leverantören ändrar avtalet eller underbiträdena sparar hon även det meddelandet. Vid en kontroll från tillsynsmyndigheten, eller vid en fråga från en kund ("hur hanterar ni mina uppgifter?"), kan hon då visa upp det.

I praktiken: så här ser det ut hos en leverantör

WebOké har ett standardiserat personuppgiftsbiträdesavtal med en bilaga över anlitade tredje parter, där det framgår att behandling sker inom EU och att överföring utanför detta endast får ske med skriftligt tillstånd. I de vanliga frågorna i Nextcloud-handboken anges när du behöver det. Hos andra leverantörer heter dokumentet ofta "Data Processing Agreement" och listan över underbiträden finns på en separat sida ("Subprocessors"). Jämför den listan med vad leverantören uppger på sin webbplats om datacenter och support.

Sammanfattning

• Artikel 28.3 i GDPR kräver ett skriftligt personuppgiftsbiträdesavtal med fasta ämnen och åtta skyldigheter för biträdet.
• Kontrollera framför allt: inga egna ändamål, säkerhet, underbiträden, hjälp vid personuppgiftsincidenter, återlämnande eller radering efter avslut, samt revisioner.
• Underbiträden endast med ditt tillstånd; vid allmänt tillstånd ska du informeras om ändringar och kunna invända.
• Vid ett byte till en europeisk tjänst tittar du i listan över underbiträden på land och moderbolag för varje part.
• Spara avtalet och ändringsmeddelanden tillsammans med ditt register över behandling.

Quiz

Uppgift

Uppgift E9.2: Granska ett personuppgiftsbiträdesavtal. Ta fram personuppgiftsbiträdesavtalet för din nuvarande eller nya molntjänst. Gå igenom de åtta punkterna a till h och notera för varje punkt: finns det med (ja, nej, oklart) och var. Bedöm listan över underbiträden: notera för varje underbiträde land, moderbolag och vad det gör.

Läs mer

Stegen i dessa artiklar gäller för WebOkés tjänster; hos andra leverantörer fungerar det på liknande sätt.

• Nextcloud-guide 15.13: Vanliga frågor om säkerhet och integritet
• Nextcloud-guide 14.8: AI-assistent i din Nextcloud
• Förordning (EU) 2016/679 (GDPR), artikel 28, på EUR-Lex
• Genomförandebeslut (EU) 2021/915 (standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden), på EUR-Lex
• Den nederländska tillsynsmyndigheten Autoriteit Persoonsgegevens, ämnet "Verwerkersovereenkomst" (personuppgiftsbiträdesavtal): https://www.autoriteitpersoonsgegevens.nl. I Sverige vänder du dig till Integritetsskyddsmyndigheten (IMY).