PUB-avtal – när behövs det och vad ska stå i det?

Så snart ett system innehåller uppgifter om människor – kunder, medlemmar, anställda – och någon annan än ni själva hanterar det systemet, aktualiseras ett personuppgiftsbiträdesavtal, i vardagstal PUB-avtal. Det är inte en formalitet att skjuta upp: utan avtalet är själva behandlingen otillåten, och ansvaret faller på er som beställare. Samtidigt är det inte krångligare än att förstå två saker – när det behövs och vad det måste innehålla.

Gränsdragningen: när hanterar byrån data åt er?

Utgångspunkten är rollerna. Ni är personuppgiftsansvariga: det är ni som bestämmer varför och hur uppgifterna ska behandlas. Leverantören blir personuppgiftsbiträde när de behandlar uppgifterna för er räkning, enligt era instruktioner, i stället för sina egna syften.

I praktiken inträffar det i två vanliga lägen:

• Vid drift. Sköter leverantören driften av ett system som innehåller personuppgifter behandlar de dessa åt er, även om de aldrig aktivt tittar på dem.
• Vid utveckling med åtkomst till riktig data. En utvecklare som får tillgång till produktionsmiljön för att felsöka behandlar riktiga uppgifter, även om syftet bara är att laga en bugg.

Motsatsen gäller också: en leverantör som enbart bygger mot testdata utan verkliga uppgifter är oftast inte biträde. Nyckelfrågan är därför inte vad som står i uppdragsbeskrivningen, utan vem som i praktiken kan se riktiga personuppgifter. Kartlägg det, så vet ni om avtalet krävs.

De obligatoriska avtalspunkterna

Ett PUB-avtal är inte fritt att utforma som man vill. Dataskyddsförordningens artikel 28 räknar upp vad det måste innehålla, och punkterna är krav, inte önskemål.

Ett vanligt misstag är att nöja sig med ett standardavtal utan att stämma av att alla punkter faktiskt täcks och passar just er behandling. Läs det som en checklista: saknas en punkt är avtalet ofullständigt, och luckan är ert ansvar.

Underbiträden i molnkedjan

Nästan ingen leverantör klarar sig utan egna underleverantörer. Molnplattformen som systemet driftas på, en tjänst för utskick, ett verktyg för loggning – var och en som i sin tur hanterar era uppgifter blir ett underbiträde. Kedjan kan bli längre än ni tror.

Ni har rätt att veta vilka underbiträden som används och att motsätta er nytillkomna. Avtalet ska dessutom säkra att leverantören lägger samma skyldigheter vidare på sina underbiträden – annars läcker skyddet i slutet av kedjan. Be därför alltid om en aktuell förteckning över underbiträdena, inte bara en formulering om att sådana får förekomma.

Ligger något underbiträde utanför EU tillkommer frågan om tredjelandsöverföring, som kräver egna skyddsåtgärder utöver PUB-avtalet. Det är en egen fråga, men den börjar just här – i vilka underbiträden som finns och var de sitter.

Ett scenario: den glömda åtkomsten

Ett bolag hade ett PUB-avtal med sin driftleverantör och kände sig trygga. Vid en genomgång upptäcktes att även utvecklingsbyrån, som formellt bara “byggde”, rutinmässigt fick åtkomst till produktionsdata för felsökning – helt utan PUB-avtal. Behandlingen hade pågått i månader utan rättslig grund.

Rättelsen var enkel när den väl uppdagades, men poängen är att den aldrig fångats om ingen frågat vem som faktiskt kom åt riktiga uppgifter. Rollen som biträde följer av vad som sker i praktiken, inte av vad som står på fakturan.

Vill du reda ut vilka av era leverantörer som är personuppgiftsbiträden och om avtalen håller, tar vi på Weapp gärna det samtalet – hör av dig med en kort beskrivning av era system.