Leverantörer som personuppgiftsbiträden: vad kräver artikel 28 i GDPR i praktiken?

Personuppgiftsbiträde är den som behandlar personuppgifter för en personuppgiftsansvarigs räkning och enligt dennes instruktioner (artikel 4.8 i GDPR). Typiska fall är hosting och datacentertjänster, programvara som tjänst, it-underhåll med åtkomst till data eller utskick av post och e-post på uppdrag.

Det är inte fråga om ett biträdesförhållande när en tjänsteleverantör inte har någon åtkomst alls till personuppgifter eller själv bestämmer ändamålen och medlen för behandlingen.

Enligt artikel 28.3 i GDPR ska avtalet ange föremålet för och varaktigheten av behandlingen, behandlingens art och ändamål, typen av personuppgifter, kategorierna av registrerade samt den personuppgiftsansvariges skyldigheter och rättigheter. Biträdet åtar sig särskilt att bara behandla uppgifter enligt dokumenterade instruktioner (led a), att säkerställa sekretess (led b), att vidta de åtgärder som krävs enligt artikel 32 (led c), att följa reglerna för underbiträden (led d), att bistå vid de registrerades rättigheter (led e) och vid skyldigheterna enligt artiklarna 32–36 (led f), att radera eller återlämna uppgifterna när tjänsten upphör (led g) och att tillhandahålla all nödvändig information och möjliggöra granskningar (led h).

Avtalet ska vara skriftligt, vilket även omfattar elektronisk form (artikel 28.9). Som grund kan Europeiska kommissionens standardavtalsklausuler användas (genomförandebeslut (EU) 2021/915).

Redan före avtalet måste kunden kontrollera om leverantören ger tillräckliga garantier (artikel 28.1). Till dessa hör dokumenterade tekniska och organisatoriska åtgärder enligt artikel 32 – till exempel åtkomstskydd, kryptering, säkerhetskopiering och förfaranden för regelbunden testning.

Att biträdet följer godkända uppförandekoder eller certifieringar enligt GDPR kan användas som en faktor för att visa tillräckliga garantier (artikel 28.5). Själva prövningen ersätter de inte.

Leverantören får bara anlita ytterligare personuppgiftsbiträden med ett särskilt eller allmänt skriftligt förhandstillstånd (artikel 28.2). Vid ett allmänt tillstånd informerar leverantören kunden om varje planerad ändring, och kunden kan invända.

Underbiträdet ska åläggas samma skyldigheter i fråga om dataskydd; om det inte fullgör dem förblir leverantören ansvarig gentemot kunden (artikel 28.4).

Ofta saknas avtalet helt, eller så undertecknades det en gång och har aldrig setts över sedan dess. Lika vanliga är inaktuella förteckningar över underbiträden, tekniska och organisatoriska åtgärder i form av allmänna standardtexter utan koppling till tjänsten och avsaknad av en regel för radering när avtalet upphör.

Överträdelser av skyldigheterna enligt artikel 28 kan enligt artikel 83.4 i GDPR leda till administrativa sanktionsavgifter på upp till 10 miljoner euro eller upp till 2 procent av den globala årsomsättningen, beroende på vilket belopp som är högst.

Vendo4u:s katalog frågar efter de punkter som spelar roll vid en prövning enligt artikel 28 – om ett personuppgiftsbiträdesavtal finns, var uppgifterna behandlas, vilka underbiträden som anlitas – och leverantörerna lägger in de tillhörande dokumenten. Inköpare ser dessa uppgifter för alla leverantörer i samma struktur och arkiverar dem med exporten i sin egen akt.