Varför ett PUB-avtal är ett krav, inte en formalitet
Nästan alla företag anlitar idag leverantörer som på ett eller annat sätt hanterar personuppgifter åt dem. Det kan handla om ett lönesystem, en molntjänst för e-post, ett CRM, en supportplattform eller en byrå som sköter er marknadsföring. Varje gång en sådan leverantör behandlar personuppgifter för er räkning ställer dataskyddsförordningen GDPR ett uttryckligt krav: det ska finnas ett skriftligt personuppgiftsbiträdesavtal, ofta förkortat PUB-avtal eller på engelska DPA.
Många företag ser PUB-avtalet som en formalitet bland alla andra dokument som en leverantör skickar. Det är ett misstag. PUB-avtalet är ett juridiskt krav enligt GDPR, och avsaknaden av ett korrekt avtal är i sig ett brott – oavsett om några personuppgifter faktiskt har läckt. Avtalet är också det som avgör vem som bär ansvaret om något går fel.
Den här artikeln förklarar vad ett PUB-avtal är, när det krävs, vad det måste innehålla, hur det hänger ihop med molntjänster och internationella överföringar, samt vilka misstag och risker ni bör känna till.
Vad ett PUB-avtal är och när det krävs
GDPR skiljer mellan två centrala roller. Den personuppgiftsansvarige är den som bestämmer ändamålen med och medlen för en behandling – alltså varför och hur personuppgifter ska behandlas. Personuppgiftsbiträdet är den som behandlar uppgifterna för den ansvariges räkning, enligt dennes instruktioner.
Förhållandet ansvarig och biträde
Ett typiskt exempel: ert företag (den personuppgiftsansvarige) använder ett molnbaserat lönesystem från en leverantör (personuppgiftsbiträdet). Ni bestämmer varför löneuppgifterna behandlas och hur de ska användas, medan leverantören tillhandahåller systemet och behandlar uppgifterna åt er. Så snart en sådan relation uppstår kräver GDPR att förhållandet regleras i ett skriftligt avtal. Kravet följer av artikel 28 i dataskyddsförordningen, som anger att en personuppgiftsansvarig endast får anlita biträden som ger tillräckliga garantier, och att behandlingen ska regleras genom ett avtal eller en annan rättslig handling.
Skillnad mellan gemensamt och självständigt ansvar
Alla leverantörsrelationer är inte biträdesförhållanden. Om en motpart behandlar personuppgifter för sina egna ändamål är denne i stället själv personuppgiftsansvarig, och då behövs inget PUB-avtal utan andra arrangemang. Ibland bestämmer två parter gemensamt ändamål och medel, och då uppstår ett gemensamt personuppgiftsansvar med egna krav. Att rätt klassificera relationen är därför första steget – ett PUB-avtal med fel part skyddar varken er eller era registrerade.
Underbiträden i kedjan
Moderna molntjänster bygger nästan alltid på en kedja av underleverantörer – leverantören använder i sin tur en infrastrukturleverantör, som i sin tur använder andra. GDPR tillåter sådana underbiträden, men bara om biträdet har ert tillstånd och ser till att underbiträdena binds av samma skyldigheter. Ett bra PUB-avtal reglerar därför hur underbiträden får anlitas och hur ni informeras om förändringar.
Vad ett PUB-avtal måste innehålla
GDPR ställer tydliga minimikrav på innehållet i ett personuppgiftsbiträdesavtal (PUB-avtal). Avtalet ska beskriva behandlingen av personuppgifter, inklusive dess varaktighet, art och syfte, vilka typer av personuppgifter som behandlas och vilka kategorier av registrerade som berörs.
Utöver detta ska avtalet bland annat slå fast att biträdet endast behandlar uppgifterna enligt era dokumenterade instruktioner, att personer med åtkomst till uppgifterna omfattas av tystnadsplikt, och att biträdet vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder. Avtalet ska också reglera att biträdet bistår er med att svara på registrerades förfrågningar, hjälper er att uppfylla era skyldigheter vid personuppgiftsincidenter, och raderar eller återlämnar uppgifterna när uppdraget upphör. Slutligen ska biträdet ge er möjlighet till granskning och revision, så att ni kan kontrollera att skyldigheterna faktiskt efterlevs.
Poängen med dessa krav är att den personuppgiftsansvarige aldrig kan lägga ifrån sig sitt ansvar genom att anlita ett biträde. Ansvaret stannar hos er, och PUB-avtalet är verktyget som gör att ni behåller kontrollen över hur uppgifterna behandlas.
SaaS, molntjänster och internationella överföringar
För de flesta företag blir PUB-avtalet aktuellt framför allt vid användning av SaaS- och molntjänster. När era uppgifter lagras i en leverantörs system är leverantören en person som behandlar uppgifterna för den registeransvariges räkning, och avtalet krävs. De flesta etablerade SaaS-leverantörer tillhandahåller idag ett standardiserat DPA som en del av sina villkor, men ni bör inte godkänna det utan att ha läst igenom det. Granska särskilt hur underbiträden hanteras, var uppgifterna lagras och behandlas, och vilka säkerhetsåtgärder som faktiskt utlovas.
En särskilt viktig fråga är var i världen uppgifterna behandlas. GDPR tillåter överföring av personuppgifter till länder utanför EU och EES endast om det finns en lämplig skyddsnivå. För vissa länder finns ett beslut om adekvat skyddsnivå. För överföringar till USA kan en leverantör som anslutit sig till EU-US Data Privacy Framework utgöra grund för överföringen. I många fall används istället EU-kommissionens standardavtalsklausuler, så kallade SCC, ibland kompletterade med ytterligare skyddsåtgärder.
Eftersom många stora molnleverantörer har sin hemvist eller infrastruktur utanför EU är detta en fråga som ni behöver ställa aktivt. Ett PUB-avtal som inte reglerar var uppgifterna hamnar och på vilken rättslig grund de eventuellt överförs är ofullständigt.
Praktiskt exempel: leverantören som blev er risk
Föreställ er ett växande e-handelsföretag som anlitar en extern byrå för kundtjänst och nyhetsbrev. Byrån får tillgång till kundregistret och hanterar löpande personuppgifter åt företaget. Inget personuppgiftsbiträdesavtal upprättas – det känns som en självklar samarbetsrelation, och ingen tänker på den formella sidan.
Ett år senare drabbas byrån av ett dataintrång där en del av kundregistret läcker. När tillsynsmyndigheten granskar saken visar det sig att bolaget, som personuppgiftsansvarig, aldrig hade ett avtal som reglerade byråns säkerhetsåtgärder, instruktioner eller skyldighet att larma vid incidenter. Bolaget kan därmed inte visa att det säkerställt att biträdet gav tillräckliga garantier. Avsaknaden av PUB-avtal blir då en egen brist, vid sidan av själva incidenten.
Med ett korrekt PUB-avtal hade bolaget kunnat visa att det ställt krav på säkerhet, dokumenterat instruktioner och säkrat rätten att granska byrån. Avtalet hade inte gjort intrånget omöjligt, men det hade gett bolaget både ett bättre rättsligt läge och praktiska verktyg för att hantera situationen.
Vanliga misstag företag gör
Det vanligaste misstaget är att helt sakna personuppgiftsbiträdesavtal (PUB-avtal) med leverantörer som faktiskt behandlar personuppgifter. Många företag har avtal med de största leverantörerna men missar de mindre – byrån, frilansaren, det nischade verktyg som någon avdelning har börjat använda på egen hand.
Ett andra misstag är att skriva under leverantörens standard-DPA utan att först läsa igenom det. Standardvillkoren är skrivna för att skydda leverantören, och de kan innehålla breda rättigheter att anlita underbiträden eller behandla data på sätt ni inte har överblick över.
Ett tredje misstag är att felaktigt klassificera relationen, till exempel att behandla en självständigt personuppgiftsansvarig motpart som ett biträde. Detta leder till avtal som inte stämmer överens med verkligheten och ger en falsk trygghet.
Ett fjärde misstag är att aldrig hålla koll på var uppgifterna behandlas. Utan kontroll över internationella överföringar och underleverantörer kan personuppgifter hamna i länder utan tillräckligt skydd, utan att ni ens känner till det.
Juridiska risker med att sakna eller ha bristfälliga PUB-avtal
Att sakna ett PUB-avtal där ett krävs är i sig en överträdelse av GDPR. Förordningen ger tillsynsmyndigheter möjlighet att besluta om sanktionsavgifter på upp till 20 miljoner euro eller fyra procent av en koncerns globala årsomsättning, beroende på överträdelsens art. Även om de högsta beloppen är reserverade för de allvarligaste fallen visar nivån vilken vikt lagstiftaren lägger vid efterlevnad.
Utöver de direkta sanktionerna finns risken för skadestånd till registrerade, kostnader för att hantera incidenter och – ofta nog så kännbart – förtroendeskada om det blir känt att ni inte haft ordning på era leverantörsrelationer. Ansvaret stannar dessutom hos er som personuppgiftsansvarig även när det praktiska felet begåtts av ett biträde, vilket gör att era egna avtal blir avgörande för var risken landar.
Rekommenderade åtgärder
Börja med att kartlägga vilka leverantörer som behandlar personuppgifter för er räkning. Gå igenom alla system och samarbeten, inklusive de mindre verktyg som tagits in utan central styrning, och avgör för varje relation om motparten är ett biträde, en självständigt personuppgiftsansvarig eller en gemensamt personuppgiftsansvarig.
Se till att det finns ett PUB-avtal med varje biträde och att avtalet uppfyller GDPR:s krav på innehåll. Granska leverantörernas standard-DPA i stället för att godta dem oläst, och var särskilt uppmärksam på underbiträden, säkerhetsåtgärder och var uppgifterna behandlas. För överföringar utanför EU, kontrollera att det finns en giltig grund, exempelvis adekvansbeslut, standardavtalsklausuler eller anslutning till EU-US Data Privacy Framework.
Slutligen: behandla PUB-avtalen som en del av en löpande process, inte en engångsåtgärd. Leverantörer byter underbiträden, flyttar datacenter och ändrar villkor, och ert dataskyddsarbete behöver hålla jämna steg.
Vanliga frågor om PUB-avtal
Skillnaden mellan ett Pub-avtal och ett DPA (Data Processing Agreement) är att ett Pub-avtal är ett övergripande avtal som reglerar ett samarbete mellan två eller flera parter, medan en DPA är ett specifikt avtal som reglerar behandlingen av personuppgifter.
Ingen i sak. PUB-avtal är den svenska förkortningen för personuppgiftsbiträdesavtal, medan DPA (Data Processing Agreement) är den engelska benämningen på samma sak. Internationella leverantörer använder oftast termen DPA.
När behöver vi ett PUB-avtal?
Ni behöver ett personuppgiftsbiträdesavtal (PUB-avtal) varje gång en leverantör behandlar personuppgifter för er räkning enligt era instruktioner – det vill säga agerar som personuppgiftsbiträde. Detta gäller exempelvis för moln- och SaaS-tjänster, lönesystem, supportplattformar och byråer som hanterar era kunduppgifter.
Är leverantörens standardavtal tillräckligt?
Ofta uppfyller ett etablerat standard-DPA grundkraven, men ni bör ändå granska det. Standardvillkoren är skrivna ur leverantörens perspektiv och kan ge breda rättigheter kring underbiträden och databehandling. Ert ansvar som personuppgiftsansvarig kvarstår oavsett vad leverantörens mall säger.
Vad gäller om leverantören finns utanför EU?
Då aktualiseras reglerna om internationella överföringar. Överföring får ske om det finns ett adekvansbeslut, om leverantören omfattas av EU-US Data Privacy Framework, eller om ni använder standardavtalsklausuler, ibland med kompletterande skyddsåtgärder. PUB-avtalet bör spegla på vilken grund överföringen sker.
Vem är ansvarig om ett biträde orsakar en incident?
The responsibility as data controller remains with you, even when the error was practically committed by the processor. The processor has its own obligations under GDPR and can also be held liable, but within the framework of the data processing agreement, you can ensure that the risk and costs are distributed reasonably between the parties.
Måste ett PUB-avtal vara skriftligt?
Ja. GDPR kräver att behandlingen regleras genom ett avtal eller en annan rättslig handling, och i praktiken innebär det ett skriftligt avtal, som även kan vara i elektronisk form. Ett muntligt arrangemang uppfyller inte kravet.
Slutsats
Ett personuppgiftsbiträdesavtal (PUB-avtal) är inte en formalitet utan ett uttryckligt krav i GDPR och ett av de viktigaste verktygen för att behålla kontrollen över hur era personuppgifter behandlas. Den som anlitar leverantörer utan att reglera biträdesförhållandet riskerar både sanktioner och förlorat förtroende, och bär dessutom ansvaret även för det som sker hos andra. Att ha ordning på sina PUB-avtal är därför en av de mest grundläggande – och mest förbisedda – delarna av ett fungerande dataskyddsarbete.
Lawgent hjälper företag att kartlägga sina leverantörsrelationer, upprätta och granska PUB-avtal samt säkra internationella överföringar i enlighet med GDPR. Vi kombinerar gedigen dataskyddsrådgivning med AI-driven effektivitet, så att ni får efterlevnad och kontroll utan att drunkna i juridik – snabbare och mer kostnadseffektivt än hos en traditionell byrå. Vill ni veta om era leverantörsavtal håller måttet? Kontakta Lawgent för en genomgång av era PUB-avtal.
