Vad är ett PUB-avtal?

Den personuppgiftsansvariga bestämmer ändamålen och medlen för behandlingen. Ett personuppgiftsbiträde behandlar uppgifter för den ansvarigas räkning. Roller avgörs av den faktiska behandlingen, inte enbart av vad parterna kallar sig i huvudavtalet. Börja därför med att beskriva vilka uppgifter leverantören kommer åt och varför.

En leverantör kan exempelvis vara biträde när den driver kundens system, lagrar användaruppgifter eller administrerar löneuppgifter enligt kundens instruktioner. Vid upphandling av IT-drift bör ni kartlägga åtkomst till konton, ärenden och säkerhetskopior. För SaaS-licenser och verksamhetssystem behöver även behandling i själva applikationen bedömas.

Alla leverantörsrelationer kräver inte ett PUB-avtal. En part som behandlar uppgifter för egna ändamål kan i stället vara självständigt personuppgiftsansvarig. Samma leverantör kan ha olika roller för olika behandlingar. Be om en tydlig rollfördelning och ta hjälp av dataskyddskompetens när upplägget är oklart.

Avtalet skapar inte i sig en rättslig grund för kundens behandling. Kunden behöver också bedöma varför uppgifterna får behandlas och om tjänsten är lämplig. För inköparen betyder det att verksamhetens behov och dataskyddskraven ska vara kända innan leverantörens villkor accepteras.

Avtalet ska beskriva behandlingens föremål, varaktighet, art och ändamål samt typer av personuppgifter, kategorier av registrerade och den ansvarigas rättigheter och skyldigheter. Fyll bilagorna med uppgifter om er tjänst. En generell formulering om att leverantören hanterar kunddata säger inte vilka behandlingar ni faktiskt har godkänt.

Biträdet ska behandla uppgifterna enligt dokumenterade instruktioner och säkerställa att behöriga personer omfattas av sekretess. Avtalet ska även omfatta lämpliga säkerhetsåtgärder och biträdets hjälp med bland annat registrerades rättigheter och kundens dataskyddsskyldigheter. Beskriv kontaktvägar och incidenthantering så att ansvariga kan agera när något inträffar.

Underbiträden får anlitas med särskilt eller allmänt skriftligt förhandstillstånd. Vid allmänt tillstånd ska kunden informeras om planerade förändringar och få möjlighet att invända. Granska vilka underbiträden som används, vad de gör och hur ändringar meddelas. Relevanta dataskyddsskyldigheter ska föras vidare till underbiträdet.

Avtalet ska ge tillgång till information som visar att skyldigheterna uppfylls och möjliggöra granskningar, inklusive inspektioner. Kontrollera hur begäran hanteras, vilket underlag ni får och vilka praktiska villkor som gäller. En säkerhetsrapport kan vara ett underlag, men behöver bedömas mot er behandling och era granskningsbehov.

Läs leverantörens standardbiträdesavtal tillsammans med tjänstebeskrivningen. Kontrollera instruktionerna, bilagornas innehåll och hur villkor får ändras. Förhandla där utformningen inte motsvarar ert behov, men skilj lagens krav från praktiska önskemål. En avtalsversion som inte går att följa i den faktiska leveransen ger dåligt stöd för uppföljningen.

Vid upphandling av molntjänster bör lagring, supportåtkomst och underbiträden kartläggas tillsammans. Fråga i vilka länder uppgifter behandlas och vem som kan få tillgång till dem. Ett PUB-avtal är inte ensamt tillräckligt för en tredjelandsöverföring; överföringen behöver också uppfylla GDPR:s särskilda regler för sådana överföringar.

Läs dessutom huvudavtalets ansvarsbegränsning mot biträdesavtalets ansvarsvillkor. Kontrollera dokumentens företrädesordning och om samma händelse hanteras olika. Hur en viss begränsning påverkar ansvar och ersättningskrav enligt GDPR behöver bedömas juridiskt i det enskilda upplägget [VERIFIERA].

Biträdesavtalet ska ange att uppgifterna, efter kundens val, raderas eller återlämnas när behandlingstjänsterna avslutas och att befintliga kopior raderas, om inte unionsrätt eller nationell rätt kräver lagring. Gör valet praktiskt genomförbart: bestäm exportformat, mottagare, säker överföring och hur genomförd radering dokumenteras.

Granska säkerhetskopior och underbiträden särskilt. Be leverantören beskriva hur avslutet genomförs i hela kedjan och vilka lagringskrav som eventuellt gäller. Uppgifter som behöver vara kvar ska inte bara lämnas utan förklaring. Följ upp att åtkomster avvecklas och att mottagna uppgifter går att använda hos nästa leverantör.

Spara avtal, instruktioner, underbiträdesinformation och ansvariga kontakter i er avtalshantering. Följ upp förändringar under avtalstiden, inte bara vid signering. När tjänsten, uppgifterna eller leverantörskedjan ändras behöver ni kontrollera att avtalet fortfarande beskriver den behandling som sker.