Varför ett PUB-avtal är ett krav, inte en formalitet
Nästan alla företag anlitar i dag leverantörer som på ett eller annat sätt hanterar personuppgifter åt dem. Det kan vara ett lönesystem, en molntjänst för e-post, ett CRM, en supportplattform eller en byrå som sköter er marknadsföring. Varje gång en sådan leverantör behandlar personuppgifter för er räkning ställer dataskyddsförordningen GDPR ett uttryckligt krav: det ska finnas ett skriftligt personuppgiftsbiträdesavtal, ofta förkortat PUB-avtal eller på engelska DPA.
Många företag uppfattar PUB-avtalet som en formalitet bland alla andra dokument en leverantör skickar över. Det är ett misstag. PUB-avtalet är ett rättsligt krav enligt GDPR, och avsaknaden av ett korrekt avtal är i sig en överträdelse – oavsett om någon personuppgift faktiskt kommit på avvägar. Avtalet är också det som avgör vem som bär ansvaret om något går fel.
Den här artikeln förklarar vad ett PUB-avtal är, när det krävs, vad det måste innehålla, hur det hänger ihop med molntjänster och internationella överföringar, samt vilka misstag och risker ni bör känna till.
Vad ett PUB-avtal är och när det krävs
GDPR skiljer mellan två centrala roller. Den personuppgiftsansvarige är den som bestämmer ändamålen med och medlen för en behandling – alltså varför och hur personuppgifter ska behandlas. Personuppgiftsbiträdet är den som behandlar uppgifterna för den ansvariges räkning, enligt dennes instruktioner.
Förhållandet ansvarig och biträde
Ett typiskt exempel: ert företag (den personuppgiftsansvarige) använder ett molnbaserat lönesystem från en leverantör (personuppgiftsbiträdet). Ni bestämmer varför löneuppgifterna behandlas och hur de ska användas, medan leverantören tillhandahåller systemet och behandlar uppgifterna åt er. Så snart en sådan relation uppstår kräver GDPR att förhållandet regleras i ett skriftligt avtal. Kravet följer av artikel 28 i dataskyddsförordningen, som anger att en personuppgiftsansvarig endast får anlita biträden som ger tillräckliga garantier, och att behandlingen ska regleras genom ett avtal eller en annan rättslig handling.
Skillnad mot gemensamt och självständigt ansvar
Alla leverantörsrelationer är inte biträdesförhållanden. Om en motpart behandlar personuppgifter för sina egna ändamål är denne i stället själv personuppgiftsansvarig, och då behövs inget PUB-avtal utan andra arrangemang. Ibland bestämmer två parter gemensamt ändamål och medel, och då uppstår ett gemensamt personuppgiftsansvar med egna krav. Att rätt klassificera relationen är därför första steget – ett PUB-avtal med fel part skyddar varken er eller era registrerade.
Underbiträden i kedjan
Moderna molntjänster bygger nästan alltid på en kedja av underleverantörer – leverantören använder i sin tur en infrastrukturleverantör, som i sin tur använder andra. GDPR tillåter sådana underbiträden, men bara om biträdet har ert tillstånd och ser till att underbiträdena binds av samma skyldigheter. Ett bra PUB-avtal reglerar därför hur underbiträden får anlitas och hur ni informeras om förändringar.
Vad ett PUB-avtal måste innehålla
GDPR ställer tydliga minimikrav på innehållet i ett PUB-avtal. Avtalet ska beskriva behandlingens föremål och varaktighet, dess art och ändamål, vilka typer av personuppgifter som behandlas och vilka kategorier av registrerade som berörs.
Utöver detta ska avtalet bland annat slå fast att biträdet endast behandlar uppgifterna enligt era dokumenterade instruktioner, att personer med åtkomst till uppgifterna omfattas av tystnadsplikt, och att biträdet vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder. Avtalet ska också reglera att biträdet bistår er med att svara på registrerades förfrågningar, hjälper er att uppfylla era skyldigheter vid personuppgiftsincidenter, och raderar eller återlämnar uppgifterna när uppdraget upphör. Slutligen ska biträdet ge er möjlighet till granskning och revision, så att ni kan kontrollera att skyldigheterna faktiskt efterlevs.
Poängen med dessa krav är att den personuppgiftsansvarige aldrig kan lägga ifrån sig sitt ansvar genom att anlita ett biträde. Ansvaret stannar hos er, och PUB-avtalet är verktyget som gör att ni behåller kontrollen över hur uppgifterna behandlas.
SaaS, molntjänster och internationella överföringar
För de flesta företag aktualiseras PUB-avtalet framför allt vid användning av SaaS- och molntjänster. När era uppgifter ligger i en leverantörs system är leverantören ett biträde, och avtalet behövs. De flesta etablerade SaaS-leverantörer tillhandahåller i dag ett standardiserat DPA som en del av sina villkor, men ni bör inte godta det oläst. Granska särskilt hur underbiträden hanteras, var uppgifterna lagras och behandlas, och vilka säkerhetsåtgärder som faktiskt utlovas.
En särskilt viktig fråga är var i världen uppgifterna behandlas. GDPR tillåter överföring av personuppgifter till länder utanför EU och EES endast om det finns en lämplig skyddsnivå. För vissa länder finns ett beslut om adekvat skyddsnivå. För överföringar till USA kan en leverantör som anslutit sig till EU-US Data Privacy Framework utgöra grund för överföring. I många fall används i stället EU-kommissionens standardavtalsklausuler, så kallade SCC, ibland kompletterade med ytterligare skyddsåtgärder.
Eftersom många stora molnleverantörer har sin hemvist eller infrastruktur utanför EU är detta en fråga ni behöver ställa aktivt. Ett PUB-avtal som inte reglerar var uppgifterna hamnar och på vilken rättslig grund de eventuellt överförs är ofullständigt.
Praktiskt exempel: leverantören som blev er risk
Tänk er ett växande e-handelsbolag som anlitar en extern byrå för kundtjänst och nyhetsbrev. Byrån får tillgång till kundregistret och hanterar löpande personuppgifter åt bolaget. Inget PUB-avtal upprättas – det känns som en självklar samarbetsrelation, och ingen tänker på den formella sidan.
Ett år senare drabbas byrån av ett dataintrång där en del av kundregistret läcker. När tillsynsmyndigheten granskar saken visar det sig att bolaget, som personuppgiftsansvarig, aldrig hade ett avtal som reglerade byråns säkerhetsåtgärder, instruktioner eller skyldighet att larma vid incidenter. Bolaget kan därmed inte visa att det säkerställt att biträdet gav tillräckliga garantier. Avsaknaden av PUB-avtal blir då en egen brist, vid sidan av själva incidenten.
Med ett korrekt PUB-avtal hade bolaget kunnat visa att det ställt krav på säkerhet, dokumenterat instruktioner och säkrat rätten att granska byrån. Avtalet hade inte gjort intrånget omöjligt, men det hade gett bolaget både ett bättre rättsligt läge och praktiska verktyg för att hantera situationen.
Vanliga misstag företag gör
Det vanligaste misstaget är att helt sakna PUB-avtal med leverantörer som faktiskt behandlar personuppgifter. Många företag har avtal med de största leverantörerna men missar de mindre – byrån, frilansaren, det nischade verktyg som någon avdelning börjat använda på egen hand.
Ett andra misstag är att underteckna leverantörens standard-DPA utan att läsa det. Standardvillkoren är skrivna för att skydda leverantören, och de kan innehålla breda rättigheter att anlita underbiträden eller behandla uppgifter på sätt ni inte överblickar.
Ett tredje misstag är att klassificera relationen fel, exempelvis att behandla en självständigt personuppgiftsansvarig motpart som ett biträde. Det leder till avtal som inte stämmer med verkligheten och som ger ett falskt lugn.
Ett fjärde misstag är att aldrig hålla koll på var uppgifterna behandlas. Utan kontroll över internationella överföringar och underbiträden kan personuppgifter hamna i länder utan tillräckligt skydd, utan att ni ens känner till det.
Juridiska risker med att sakna eller ha bristfälliga PUB-avtal
Att sakna ett PUB-avtal där ett krävs är i sig en överträdelse av GDPR. Förordningen ger tillsynsmyndigheter möjlighet att besluta om sanktionsavgifter på upp till 20 miljoner euro eller fyra procent av en koncerns globala årsomsättning, beroende på överträdelsens art. Även om de högsta beloppen är reserverade för de allvarligaste fallen visar nivån vilken vikt lagstiftaren lägger vid efterlevnad.
Utöver de direkta sanktionerna finns risken för skadestånd till registrerade, kostnader för att hantera incidenter och – ofta nog så kännbart – förtroendeskada om det blir känt att ni inte haft ordning på era leverantörsrelationer. Ansvaret stannar dessutom hos er som personuppgiftsansvarig även när det praktiska felet begåtts av ett biträde, vilket gör att era egna avtal blir avgörande för var risken landar.
Rekommenderade åtgärder
Börja med att kartlägga vilka leverantörer som behandlar personuppgifter för er räkning. Gå igenom alla system och samarbeten, inklusive de mindre verktyg som tagits in utan central styrning, och avgör för varje relation om motparten är ett biträde, en självständigt ansvarig eller en gemensamt ansvarig.
Säkerställ att det finns ett PUB-avtal med varje biträde och att avtalet uppfyller GDPR:s krav på innehåll. Granska leverantörernas standard-DPA i stället för att godta dem oläst, och var särskilt uppmärksam på underbiträden, säkerhetsåtgärder och var uppgifterna behandlas. För överföringar utanför EU, kontrollera att det finns en giltig grund, exempelvis adekvansbeslut, standardavtalsklausuler eller anslutning till EU-US Data Privacy Framework.
Slutligen: behandla PUB-avtalen som en del av en löpande process, inte en engångsåtgärd. Leverantörer byter underbiträden, flyttar datacenter och ändrar villkor, och ert dataskyddsarbete behöver hålla jämna steg.
Vanliga frågor om PUB-avtal
Vad är skillnaden mellan PUB-avtal och DPA?
Ingen i sak. PUB-avtal är den svenska förkortningen för personuppgiftsbiträdesavtal, medan DPA (Data Processing Agreement) är den engelska benämningen på samma sak. Internationella leverantörer använder oftast termen DPA.
När behöver vi ett PUB-avtal?
Ni behöver ett PUB-avtal varje gång en leverantör behandlar personuppgifter för er räkning enligt era instruktioner – alltså agerar personuppgiftsbiträde. Det gäller till exempel moln- och SaaS-tjänster, lönesystem, supportplattformar och byråer som hanterar era kunduppgifter.
Räcker det med leverantörens standardavtal?
Ofta uppfyller ett etablerat standard-DPA grundkraven, men ni bör ändå granska det. Standardvillkoren är skrivna ur leverantörens perspektiv och kan ge breda rättigheter kring underbiträden och databehandling. Ert ansvar som personuppgiftsansvarig kvarstår oavsett vad leverantörens mall säger.
Vad gäller om leverantören finns utanför EU?
Då aktualiseras reglerna om internationella överföringar. Överföring får ske om det finns ett adekvansbeslut, om leverantören omfattas av EU-US Data Privacy Framework, eller om ni använder standardavtalsklausuler, ibland med kompletterande skyddsåtgärder. PUB-avtalet bör spegla på vilken grund överföringen sker.
Vem är ansvarig om ett biträde orsakar en incident?
Ansvaret som personuppgiftsansvarig stannar hos er, även när felet praktiskt begåtts av biträdet. Biträdet har egna skyldigheter enligt GDPR och kan också bli ansvarigt, men ni kan inom ramen för PUB-avtalet säkerställa att risken och kostnaderna fördelas rimligt mellan parterna.
Måste ett PUB-avtal vara skriftligt?
Ja. GDPR kräver att behandlingen regleras genom ett avtal eller en annan rättslig handling, och i praktiken innebär det ett skriftligt avtal, som även kan vara i elektronisk form. Ett muntligt arrangemang uppfyller inte kravet.
Slutsats
Ett PUB-avtal är inte en formalitet utan ett uttryckligt krav i GDPR och ett av de viktigaste verktygen för att behålla kontrollen över hur era personuppgifter behandlas. Den som anlitar leverantörer utan att reglera biträdesförhållandet riskerar både sanktioner och förlorat förtroende, och bär dessutom ansvaret även för det som sker hos andra. Att ha ordning på sina PUB-avtal är därför en av de mest grundläggande – och mest förbisedda – delarna av ett fungerande dataskyddsarbete.
Lawgent hjälper företag att kartlägga sina leverantörsrelationer, upprätta och granska PUB-avtal och säkra internationella överföringar i enlighet med GDPR. Vi kombinerar erfaren dataskyddsrådgivning med AI-driven effektivitet, så att ni får efterlevnad och kontroll utan att drunkna i juridik – snabbare och mer kostnadseffektivt än hos en traditionell byrå. Vill ni veta om era leverantörsavtal håller måttet? Kontakta Lawgent för en genomgång av era PUB-avtal.
