Klausul om personuppgiftsbehandling

Vad det är

En klausul om personuppgiftsbehandling eller ett personuppgiftsbiträdesavtal (DPA) fastställer de villkor mellan personuppgiftsansvarig och biträde som krävs enligt artikel 28 i GDPR: ämne, varaktighet, instruktioner, säkerhetsåtgärder, underbiträden, anmälan om personuppgiftsincidenter och radering. Arrangemanget kan vara ett avtal eller en annan skriftlig rättsakt, inklusive elektronisk form, och är obligatoriskt närhelst en part behandlar personuppgifter för en annans räkning.

Varför det är viktigt

Utan ett efterlevnadskorrekt DPA bryter båda parter mot GDPR och riskerar administrativa sanktioner samt, enligt artikel 82 och dess villkor, skadeståndsansvar för registrerades anspråk. Klausulen fördelar säkerhetsansvar och tider för anmälan om incidenter, vilket är kritiskt när en personuppgiftsincident inträffar.

Så tillämpar du det

• Dokumentera art, syfte, varaktighet samt kategorier av personuppgifter och registrerade.
• Kräv att behandlingen endast sker på dokumenterade instruktioner och med lämpliga säkerhetsåtgärder.
• Reglera godkännande av underbiträden, tidsramar för anmälan om incidenter och rätten till revision.
• Hantera internationella överföringar med en lämplig grund – till exempel standardavtalsklausuler enligt beslut (EU) 2021/914 – eller stöd dig på ett adekvathetsbeslut där ett sådant finns.

Exempel på formulering

Biträdet ska endast behandla personuppgifter på den personuppgiftsansvariges dokumenterade instruktioner, vidta lämpliga tekniska och organisatoriska åtgärder och underrätta den personuppgiftsansvarige utan oskäligt dröjsmål om varje personuppgiftsincident. (Detta är ett förenklat exempelutdrag; ett fullständigt DPA måste innehålla samtliga krav i artikel 28 i GDPR.)

Förhandlingstips

• • Personuppgiftsansvariga bör kräva snabb anmälan om incidenter och revisionsrätt. En avtalad yttergräns på till exempel 24 till 48 timmar kan förhandlas fram, men det är en hypotetisk avtalspunkt: den kan aldrig skjuta upp biträdets skyldighet att underrätta utan oskäligt dröjsmål, och den ersätter inte den ansvariges egen kvalificerade 72-timmarsfrist, som börjar löpa vid den ansvariges egen kännedom.
• • Personuppgiftsbiträden bör reglera underbiträdesanvändningen i förväg: antingen genom specifikt förhandlat godkännande eller en generell skriftlig tillåtelse med en mekanism för att meddela tillkommande eller utbytta underbiträden och ge den ansvarige tillfälle att invända. Varje ändring kräver inte att DPA:t skrivs under på nytt.

Vanliga fallgropar

• • Att behandla DPA:t som valfri standardtext i stället för ett obligatoriskt krav i GDPR.
• • Att bortse från säkerhetsåtgärder för internationella överföringar. Överföringar avgörs inte enbart av var biträdet befinner sig, och ett vanligt DPA är i sig inte tillstånd att överföra.

Juridiska hänvisningar

• GDPR Art. 28 GDPR: personuppgiftsbiträdets skyldigheter EU-rätt
• SFS 2018:218 Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning Svensk lag

Kontrollera vilken jurisdiktion som anges för varje referens. Detta är allmän information och inte juridisk rådgivning. Dessa begrepp hanteras olika i olika jurisdiktioner. Kontrollera aktuell lydelse och hur den är tillämplig på din situation med en kvalificerad jurist.