Kunden skickar ett DPA tillsammans med sitt avtal. Eller så ber en ny kund er om ett eget. För många SaaS- och techbolag är personuppgiftsbiträdesavtalet en återkommande del av affären. För att använda det rätt behöver ni först förstå vem som gör vad med personuppgifterna.
När ett företag behandlar personuppgifter för en annan organisations räkning i rollen som personuppgiftsbiträde ska behandlingen regleras i ett bindande avtal eller annan rättsakt enligt GDPR. I kommersiella relationer används ett personuppgiftsbiträdesavtal, ofta kallat DPA, Data Processing Agreement. Det ska vara skriftligt, vilket även omfattar elektronisk form. Se IMY vägledning om personuppgiftsbiträdesavtal.
Det är behandlingen och rollfördelningen som avgör behovet. Att två företag utbyter personuppgifter innebär inte automatiskt att det ena är biträde åt det andra.
Vem är personuppgiftsansvarig och vem är biträde?
Den personuppgiftsansvariga bestämmer ändamålen och medlen för behandlingen. Personuppgiftsbiträdet behandlar uppgifterna för den ansvarigas räkning. Roller bedöms för den aktuella behandlingen, inte som en enda etikett för hela företaget. Definitionerna finns i artikel 4 i GDPR.
Exempel: Ett företag använder ett molnbaserat personalsystem för att administrera sina medarbetare. Företaget är typiskt personuppgiftsansvarigt för personaladministrationen. Systemleverantören kan vara biträde när den lagrar och hanterar uppgifterna på företagets instruktioner.
Samma leverantör kan samtidigt vara självständigt ansvarig för andra behandlingar, exempelvis egna kontaktuppgifter till kundens inköpare. Håll därför isär produktens behandling av kunddata och leverantörens egen administration.
Vad behöver ett DPA innehålla?
Avtalet behöver beskriva behandlingen och reglera biträdets skyldigheter. Kraven finns i artikel 28 i GDPR. En praktisk struktur är att skilja på en beskrivning av uppdraget och villkoren för hur det ska genomföras.
Beskriv behandlingen konkret
Ange vad som ska behandlas, hur länge, för vilka ändamål och vilka kategorier av personer och personuppgifter som omfattas. Beskriv även den personuppgiftsansvarigas rättigheter och skyldigheter.
”Kunddata” är ofta för oprecist som enda beskrivning. Ett system kan innehålla allt från namn och e-postadresser till detaljerade uppgifter om frånvaro. Bilagorna behöver hjälpa båda parter att förstå den faktiska omfattningen.
Reglera instruktioner och sekretess
Avtalet ska ange att biträdet följer dokumenterade instruktioner, med de undantag för lagkrav som GDPR medger. Personer som får behandla uppgifterna ska omfattas av konfidentialitet eller lämplig lagstadgad tystnadsplikt.
Beskriv säkerhet och hjälp till kunden
Biträdet ska vidta lämpliga säkerhetsåtgärder och hjälpa den ansvariga att uppfylla relevanta skyldigheter. Det omfattar bland annat registrerades rättigheter och stöd kring säkerhet, incidenter och konsekvensbedömningar.
Avtalet behöver också hantera underbiträden, återlämning eller radering vid avslut samt information och medverkan vid granskningar. Se artikel 28 i GDPR.
Hur gör ni avtalet användbart i vardagen?
Ta fram beskrivningen tillsammans med dem som kan tjänsten. Den som ansvarar för försäljningen känner kundens behov, medan produkt- och teknikteamet vet hur informationen faktiskt hanteras.
Gå igenom ett normalt användarflöde: vilka uppgifter läggs in, var lagras de, vilka kan komma åt dem och när försvinner de? Jämför sedan svaren med avtalsbilagorna.
Om ni använder testmiljöer, supportverktyg eller externa AI-funktioner behöver även de ingå i kartläggningen när de hanterar personuppgifter. Kundens dataflöde stannar inte nödvändigtvis vid den databas som produkten använder.
Vad gäller för underbiträden?
En leverantör som behandlar kundens personuppgifter åt er i er roll som biträde kan vara ett underbiträde. Exempel kan vara en driftleverantör eller en tjänst som hanterar en del av bearbetningen.
GDPR kräver särskilt eller allmänt skriftligt förhandstillstånd från den personuppgiftsansvariga. Vid allmänt tillstånd ska kunden informeras om planerade tillägg eller byten så att den kan invända. Relevanta dataskyddsskyldigheter ska även föras vidare till underbiträdet genom avtal. Se artikel 28.2 och 28.4 i GDPR.
Håll därför en aktuell förteckning över leverantörer, funktioner och behandlingsplatser. Bestäm också vem internt som ska uppdatera den när produktteamet inför en ny tjänst.
Räcker det att uppgifterna lagras inom EU?
Lagringsplatsen är en viktig del av bedömningen, men kartlägg även åtkomst och andra dataflöden. Överföringar till länder utanför EU/EES omfattas av särskilda krav och behöver bedömas utifrån den aktuella situationen. Ett DPA är inte i sig tillräckligt stöd för en sådan överföring. Se kapitel V i GDPR.
Fråga därför också var support utförs, vilka leverantörer som kan få tillgång till uppgifterna och hur eventuella överföringar hanteras. Gör kontrollen innan en ny leverantör kopplas in.
Vad händer vid en personuppgiftsincident?
Ett biträde ska underrätta den personuppgiftsansvariga utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident. Det är inte samma sak som den ansvarigas regel om anmälan till tillsynsmyndigheten, där 72 timmar kan vara relevant. Se artikel 33 i GDPR.
Gör rutinen konkret: ange kontaktväg, vilken information som lämnas först och hur uppdateringar skickas. En pågående utredning behöver inte vara färdig för att den första underrättelsen ska kunna ske.
Testa gärna rutinen tillsammans med incidenthanteringen i ert SLA. Då kan ni se om rätt personer nås även när händelsen upptäcks utanför kontorstid.
Vad ska hända med uppgifterna när samarbetet avslutas?
Avtalet ska hantera återlämning eller radering enligt den ansvarigas val samt radering av kopior, om inte lag kräver fortsatt lagring. Det följer av artikel 28.3 g i GDPR.
Beskriv den praktiska processen: vem begär export, vilket format används och hur hanteras säkerhetskopior? Kontrollera att systemens funktioner stödjer det ni lovar. Ett avslut ska kunna genomföras även om kundens ordinarie kontaktperson har slutat.
Fyra vanliga missar
Rollerna bestäms enbart genom en rubrik. Ett avtal kan inte göra en självständigt ansvarig aktör till biträde om behandlingen i praktiken ser annorlunda ut.
Bilagorna lämnas tomma. Villkoren blir svåra att tillämpa om omfattning, uppgifter och instruktioner inte beskrivs.
Leverantörslistan blir inaktuell. Nya funktioner kan innebära nya underbiträden och dataflöden.
Avtalet ses som hela GDPR-arbetet. Även den praktiska hanteringen, säkerheten och övriga skyldigheter behöver fungera.
Vanliga frågor om DPA
Är DPA och personuppgiftsbiträdesavtal samma sak?
I den här typen av GDPR-sammanhang används DPA normalt som engelsk benämning på personuppgiftsbiträdesavtal.
Behöver varje SaaS-kund ett DPA?
Behovet beror på om leverantören behandlar personuppgifter som biträde åt kunden. Bedöm behandlingen och rollerna, inte bara att tjänsten kallas SaaS.
Kan ett DPA vara en bilaga till kundavtalet?
Ja. Det behöver vara bindande, omfatta rätt behandling och uppfylla kraven. Parterna behöver inte ha ett helt fristående dokument.
Ersätter ett NDA ett DPA?
Nej. Sekretess är bara en del av de frågor som ett biträdesavtal behöver reglera.
Kan vi använda ett standardavtal?
Ja, men fyll i och kontrollera beskrivningen av just er behandling. En standardtext kan inte på egen hand kartlägga dataflöden eller säkerställa att era rutiner fungerar.
Få stöd med avtalen kring kunddata
Swedish Software erbjuder medlemsföretag branschavtal och juridisk rådgivning kring avtalen. Det ger er en utgångspunkt när ni behöver strukturera avtalsarbetet.
Läs också:
Artikeln ger generell information och ersätter inte juridisk rådgivning i ett enskilt fall.