Personuppgiftsbiträdesavtal (DPA)

Definition

Ett personuppgiftsbiträdesavtal (DPA) är det avtal som GDPR kräver närhelst ett personuppgiftsbiträde behandlar personuppgifter för en personuppgiftsansvarigs räkning. Det måste ange ämne, varaktighet, art och syfte med behandlingen, typer av personuppgifter och kategorier av registrerade, samt biträdets skyldigheter gällande säkerhet, underbiträden och bistånd. Artikel 28 i GDPR listar det obligatoriska innehållet, och behandlingen ska regleras av ett avtal eller en annan rättsakt under unionsrätt eller medlemsstatsrätt som är bindande för biträdet och är i skriftlig form, inklusive elektronisk form. I Sverige kompletteras GDPR av lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, som gäller inom sitt territoriella tillämpningsområde.

Exempel

Ett företag som använder en molnbaserad löneleverantör tecknar ett DPA som reglerar säkerhetsåtgärder, tidsramar för anmälan om personuppgiftsincidenter och begränsningar för underbiträden. Exemplet är illustrativt och beskriver inte en verifierad kund eller ett komplett avtal.

Varför detta är en affärsrisk

Att driva verksamhet utan ett DPA när ett sådant krävs är i sig ett brott mot GDPR, oavsett om någon personuppgiftsincident inträffar. Det kan medföra administrativa sanktioner: artikel 83(4) i GDPR tillåter böter på upp till 10 miljoner euro eller, för ett företag, 2 % av den totala världsomfattande årsomsättningen föregående räkenskapsår för bland annat överträdelser av artikel 28. Utöver efterlevnaden kan ett svagt DPA lämna dig utan avtalsrättslig möjlighet att göra gällande krav om ditt biträde orsakar en personuppgiftsincident eller missbrukar de data du anförtrodde dem. Ett saknat avtalsskydd utesluter dock inte alla lagstadgade rättsmedel.

Så hanterar du det

• Identifiera varje leverantör som behandlar personuppgifter för din räkning och se till att ett skriftligt DPA eller annat bindande, skriftligt rättshandlingsdokument finns på plats innan behandlingen börjar.
• Kontrollera att DPA:t reglerar underbiträdesanvändning: antingen specifikt förhandlat godkännande eller en generell skriftlig tillåtelse som innebär att biträdet informerar dig om tillkommande eller utbytta underbiträden i förväg och ger dig tillfälle att invända.
• Reglera tidsramar för anmälan om personuppgiftsincidenter i DPA:t, kortare än din egen kvalificerade 72-timmarsgräns som personuppgiftsansvarig, så att du hinner agera. Biträdets skyldighet att underrätta dig utan oskäligt dröjsmål gäller oberoende av avtalade tider, och en avtalad senare tidpunkt kan aldrig ersätta den skyldigheten.
• Granska DPA:er med jämna mellanrum: underbiträden byts, säkerhetsstandarder utvecklas, och DPA:er som var tillräckliga vid undertecknandet kan bli otillräckliga.

Juridiska referenser

• GDPR Art. 28 GDPR: personuppgiftsbiträdets skyldigheter EU-rätt

Kontrollera vilken jurisdiktion som anges för varje referens. Detta är allmän information och inte juridisk rådgivning. Dessa begrepp hanteras olika i olika jurisdiktioner. Kontrollera aktuell lydelse och hur den är tillämplig på din situation med en kvalificerad jurist.