Vad är ett DPA?
Ett DPA (Data Processing Agreement), på svenska personuppgiftsbiträdesavtal, är det juridiska avtal som måste finnas när en leverantör behandlar personuppgifter åt er. Det krävs i praktiken vid nästan varje molntjänst och utvecklingssamarbete, och reglerar instruktioner, säkerhet, underbiträden och radering. Standardavtal går sällan att förhandla men ska alltid läsas.
Så fort du kopplar in en molntjänst eller en byrå som rör dina kunders uppgifter dyker förkortningen DPA upp – ofta som en bilaga du ombeds skriva under. Det är lätt att klicka igenom, men avtalet är själva grunden för att behandlingen ska vara laglig. Här är vad ett DPA är, när det krävs, och vad du ska titta efter.
Definitionen: avtalet bakom behandlingen
Ett DPA (Data Processing Agreement), på svenska personuppgiftsbiträdesavtal, är det juridiska avtal som reglerar hur en leverantör får behandla personuppgifter åt er. Det tecknas mellan er som är personuppgiftsansvariga och den leverantör som är personuppgiftsbiträde.
Avtalet gör två saker samtidigt. Det uppfyller ett krav – GDPR säger uttryckligen att ett sådant avtal ska finnas – och det sätter spelreglerna: vad leverantören får och inte får göra med uppgifterna. Utan det saknar behandlingen sin rättsliga ram, hur väl leverantören än sköter sig i praktiken.
Notera att DPA och personuppgiftsbiträdesavtal är exakt samma sak. Den engelska förkortningen dyker upp även i svenska sammanhang, särskilt hos internationella leverantörer.
När det krävs: oftare än du tror
Grundregeln är enkel: ett DPA krävs så snart en leverantör behandlar personuppgifter för er räkning. Och det inträffar betydligt oftare än man först tänker.
- Molntjänster. Lagrar leverantören er data – kundregister, användarkonton, mejladresser – behöver ni ett DPA. Det gäller i praktiken varje moln som håller personuppgifter.
- Drift och förvaltning. En partner som sköter servrar där personuppgifter finns behandlar dem åt er.
- Utvecklingssamarbeten. En byrå som bygger eller förvaltar ett system kommer ofta åt personuppgifter under arbetet, till exempel i testdata eller vid felsökning.
Undantaget är om leverantören enbart hanterar helt anonym data som inte kan kopplas till någon person. Men den gränsen är snäv – de flesta system rör personuppgifter någonstans. Utgå därför från att ett DPA behövs, och motivera undantaget snarare än tvärtom.
Kärninnehållet: fyra saker att kräva
Ett DPA kan vara långt, men fyra punkter utgör kärnan. Saknas någon är avtalet ofullständigt.
| Del | Vad den säkrar |
|---|---|
| Instruktioner | Leverantören behandlar bara uppgifterna som ni bestämt |
| Säkerhetsåtgärder | Vilket skydd som ska finnas på plats |
| Underbiträden | Vilka andra leverantörer som får anlitas i sin tur |
| Radering | Hur uppgifterna hanteras när samarbetet tar slut |
Instruktioner binder leverantören till att bara göra det ni sagt åt dem att göra med uppgifterna. Säkerhetsåtgärder beskriver skyddet, tekniskt och organisatoriskt. Underbiträden listar vilka leverantörer biträdet i sin tur får koppla in – ofta underliggande molntjänster, och just den listan säger mycket om var er data i praktiken hamnar. Radering reglerar att uppgifterna tas bort eller återlämnas när ni slutar. Ett fullständigt avtal reglerar dessutom sådant som hur ni ska informeras vid en personuppgiftsincident.
Läs det, även om du inte kan ändra det
En vanlig invändning är att det inte lönar sig att bry sig, eftersom de stora leverantörernas DPA ändå inte går att förhandla. Det stämmer att de erbjuder ett standardavtal som gäller lika för alla, och att en enskild kund sällan får ändra en rad.
Men att det inte går att förhandla är inte samma sak som att det inte behöver läsas. Tvärtom – det är i standardavtalet du ser vad du faktiskt går med på: vilka underbiträden som används, i vilka länder data kan hamna, och vilket skydd som utlovas. Den informationen behöver du för att bedöma om leverantören passar för just era uppgifter. Med mindre eller lokala leverantörer finns ibland mer förhandlingsutrymme, men läskravet gäller lika.
Så använder du det här
Praktiskt betyder det tre saker för dig som beställare. Kartlägg vilka leverantörer som behandlar personuppgifter åt er, och se till att det finns ett DPA med var och en – det är ni som ansvariga som bär ansvaret för att avtalet finns. Läs särskilt avsnitten om underbiträden och datalagring. Och gör detta innan systemet tas i drift, inte efter.
Vill ni ha hjälp att bygga in rätt avtals- och dataskyddskrav från start tar vi på Weapp gärna med det i systemarbetet. Hör av dig så går vi igenom vilka DPA:er ni behöver ha på plats.
Vanliga frågor
När behöver vi ett DPA?
Så snart en leverantör behandlar personuppgifter för er räkning. I praktiken betyder det nästan varje molntjänst, driftpartner och utvecklingssamarbete som kommer i kontakt med era kunders eller medarbetares uppgifter. Behandlar leverantören bara helt anonym data behövs det inte, men den gränsen är snävare än många tror, så utgå från att avtalet behövs.
Vad ska ett DPA innehålla?
Kärnan är fyra saker: att leverantören bara behandlar uppgifterna enligt era instruktioner, vilka säkerhetsåtgärder som gäller, vilka underbiträden som får anlitas, och hur uppgifterna ska raderas eller återlämnas när samarbetet upphör. Ett fullständigt DPA reglerar också sådant som hur ni informeras vid en personuppgiftsincident. Saknas kärnpunkterna är avtalet ofullständigt.
Är ett DPA samma sak som ett personuppgiftsbiträdesavtal?
Ja. DPA står för Data Processing Agreement, och den svenska benämningen är personuppgiftsbiträdesavtal. Det är två namn på samma sak: avtalet mellan en personuppgiftsansvarig och ett personuppgiftsbiträde som reglerar hur biträdet får behandla uppgifterna. Ni möter ofta den engelska förkortningen även i svenska sammanhang, särskilt hos internationella leverantörer.
Kan man förhandla ett DPA?
Sällan med de stora leverantörerna. De erbjuder ett standardiserat DPA som gäller för alla kunder och som i praktiken inte går att ändra. Med mindre eller lokala leverantörer finns ibland mer utrymme. Men även ett icke förhandlingsbart avtal ska läsas noga, för det är där ni ser var data hamnar och vilka underbiträden som används.
Vad händer om vi saknar ett DPA?
Då är behandlingen inte förenlig med GDPR, som uttryckligen kräver ett skriftligt avtal när ett biträde behandlar personuppgifter. Det är ni som personuppgiftsansvariga som bär ansvaret för att avtalet finns, inte leverantören. Ett saknat DPA är därför en brist ni själva svarar för, och en av de enklare sakerna att åtgärda i tid.